Doszło do naruszenia kontraktu nagród Fluid, co skutkowało stratą około 215 000 USD

Według BlackHart, mechanizm dystrybucji nagród projektu DeFi Fluid w sieci Ethereum został wykorzystany, co doprowadziło do wyprowadzenia aktywów o wartości około 215 000 USD. Fluid korzysta z mechanizmu listy nagród Merkle, inicjowanego przez jeden klucz i zatwierdzanego przez drugi. Atakujący posiadał jednocześnie oba operacyjne klucze prywatne, przesłał listę przyznającą nagrody wyłącznie sobie, a następnie zrealizował roszczenie za pomocą dowodu z wiedzą zerową (zero-knowledge proof).

Skradzione aktywa pochodziły z trzech dystrybutorów nagród i obejmowały 112 883 FLUID, 47 903 GHO oraz niewielką ilość cbBTC, które następnie wymieniono na ETH i przesłano za pośrednictwem Tornado Cash. Rynek pożyczkowy, skarbiec, DEX oraz depozyty użytkowników Fluid pozostały nienaruszone. Zespół wymienił przejęte klucze i przeniósł pozostałe środki nagród w ciągu około 10 godzin, jednak w publicznym oświadczeniu wspomniano jedynie o wstrzymaniu wypłat nagród w celu aktualizacji, bez podawania szczegółów dotyczących wycieku kluczy prywatnych i strat.