Взломщик выпустил 1000 необеспеченных eBTC на Monad — Echo Protocol потерял контроль над админ-ключом

18 мая 2026 в 21:21 UTC в блоке 75 477 995 сети Monad неизвестный адрес присвоил себе роль `DEFAULT_ADMIN_ROLE` в контракте Echo Protocol, затем выдал себе `MINTER_ROLE` и отчеканил 1000 eBTC — при спотовой цене биткоина около $77 тыс. это номинальные $76,7 млн. Около 45 eBTC атакующий внёс залогом в лендинг Curvance, занял под них 11,29 WBTC (примерно $870 тыс.) и перевёл их в ETH; порядка 384 ETH ушли в Tornado Cash уже 19 мая.

Смарт-контракт при этом не ломали. Уязвимость была операционной: один EOA-адрес администратора с неограниченным правом эмиссии и без мультиподписи. Echo — обёртка биткоина для DeFi, eBTC используется как залог в протоколах экосистемы Monad, поэтому фальшивая эмиссия угрожала не только эмитенту, но и кредитным пулам, принимавшим токен. К 22 мая команда отозвала админ-права у скомпрометированного адреса и сожгла оставшиеся 955 eBTC, которые атакующий не успел заложить.

Разрыв между номиналом и реальным убытком объясняется тем, что глубины ликвидности под eBTC просто не хватило: вынести удалось меньше 1,2% от выпущенного объёма. По данным Nominis, за май 2026 года одиннадцать крупных инцидентов унесли около $124,9 млн, и основная часть потерь пришлась на инфраструктурный слой — ключи, мосты, мультисиги, а не на ошибки в коде. Для протоколов, выпускающих обёрнутые активы, это аргумент в пользу таймлоков и жёстких лимитов на эмиссию.