Кто несёт убыток при взломе perp-DEX и как его потом делят между поставщиками ликвидности?

При взломе perp-DEX с общим хранилищем убыток несут поставщики ликвидности: их средства служат источником выплат трейдерам, и поддельная прибыль атакующего списывается с хранилища. Делить убыток протокол может по-разному. Ostium в конце сентября 2026 года вернул всё кошелькам с потерей до 1 000 USDC, а 345 крупным предложил фиксированную выплату либо долю в будущих возвратах без гарантии.

Почему убыток лёг на поставщиков ликвидности?#

В perp-DEX без стакана встречной стороной сделки выступает общий пул. Поставщики вносят в хранилище стейблкоины и получают долю, в Ostium она называется OLP. Когда трейдер закрывает позицию с прибылью, выплата идёт из пула. Когда с убытком, его залог остаётся в системе.

По документации Ostium, перед средствами OLP стоит буфер, который принимает убытки первым. Там же сказано, что экстремальное событие, полностью исчерпавшее буфер, приведёт к убытку для OLP.

15 июля 2026 года такое событие произошло. По данным Crypto Briefing, атакующие скомпрометировали инфраструктуру ценообразования протокола, которая работает вне блокчейна, и отправили поддельные отчёты о цене BTC-USD. Система посчитала сделки прибыльными и выплатила из хранилища 23 752 746 USDC. Смарт-контракт сработал так, как был написан: он получил цену с действительной подписью и рассчитал прибыль. Уязвимым оказалось звено вне блокчейна.

Как Ostium разделил пострадавших?#

Протокол насчитал 3 666 кошельков, которые держали OLP в момент атаки. План возврата, по описанию TokenPost, делит их на две группы.

• Убыток до 1 000 USDC включительно: 3 321 кошелёк, или 90,59%. Они получают подтверждённый убыток полностью и могут подать заявку до 29 декабря. Если придут все, на выплаты уйдёт около 302 796 USDC.
• Убыток больше 1 000 USDC: 345 кошельков. До 30 октября каждый выбирает один из двух вариантов. Первый: получить 1 000 USDC и отказаться от остального требования. Второй: войти во вторую стадию, где средства распределят пропорционально. Кошельки, которые не ответят, автоматически попадают во вторую стадию.

На 345 крупных кошельков приходится основная часть потери: примерно 23,45 млн из 23,75 млн USDC.

Откуда берутся деньги на возврат?#

От атакующего возвращено 649 967 USDC. Простая арифметика показывает, почему порог выбран на уровне 1 000 USDC: полная выплата первой группе (302 796 USDC) и по 1 000 USDC каждому из 345 крупных кошельков (345 000 USDC) дают в сумме 647 796 USDC, что почти равно возвращённому.

Вторая стадия будет финансироваться из дальнейших возвратов и из части выручки протокола. Долю выручки Ostium обещал назвать к 30 октября. По данным TokenPost, в хранилище OLP осталось около 30% активов от уровня до инцидента.

Почему мелким возвращают всё, а крупным нет?#

Денег на всех нет, и протокол выбирает, как распределить нехватку. Полная выплата небольших сумм закрывает требования 90% кошельков за 1,3% от похищенного. Число пострадавших резко сокращается, а оставшиеся требования сосредоточены у 345 адресов.

Для крупного поставщика выбор сводится к оценке будущих возвратов. Тот, кто потерял 5 000 USDC, получает 20% сразу, если берёт фиксированную выплату. Тот, кто потерял 500 000 USDC, получает 0,2%. Чем больше убыток, тем меньше смысла в первом варианте, и тем сильнее результат зависит от того, сколько удастся вернуть и сколько выручки заработает протокол.

Какие ограничения и риски стоит учитывать?#

• Вторая стадия не гарантирована. Её объём зависит от розыска похищенного и будущей выручки, и итоговая доля возврата неизвестна.
• По условиям плана отказ от требований в обмен на 1 000 USDC окончателен. Если позже вернут крупную сумму, выбравший фиксированную выплату в ней не участвует.
• План возврата — добровольное решение команды протокола. Правовой статус требований поставщиков ликвидности в источниках не описан.
• Буфер первых убытков защищает от обычных колебаний прибыли трейдеров. Против поддельной цены, которая создаёт прибыль любого размера, он не рассчитан.
• Доходность хранилища ликвидности — это плата за риск быть встречной стороной трейдеров и за риск инфраструктуры. Внесённые средства можно потерять полностью.