Продажа Humidifi была эксплуатирована ботами, новый запуск назначен на понедельник

Высокоожидаемая публичная продажа Humidifi рухнула за считанные секунды в пятницу после масштабной атаки ботов, которые почти мгновенно исчерпали всю аллокацию. Команда подтвердила, что у обычных пользователей не было реального шанса поучаствовать, поскольку автоматизированные кошельки захлестнули продажу в момент запуска. По словам Humidifi, злоумышленник использовал тысячи кошельков, каждый из которых был предварительно загружен на 1,000 USDC.

Эти кошельки инициировали пакетные транзакции в контракт DTF, что позволяло совершать массовые покупки в одном блоке. Сообщается, что каждый пакет выполнял покупки на сумму 24,000 USDC, что эквивалентно примерно 350,000 WET за одну операцию. В результате единая организованная ферма ботов захватила весь объем токенов за секунды. Члены сообщества, ожидавшие запуска, остались полностью вне игры.

Команда аннулирует выкупленные токены и планирует полный перезапуск

Вместо того чтобы признать эксплойт, Humidifi решила аннулировать всю продажу. Команда подтвердила, что изначально выкупленные токены не будут признаны действительными. Эти адреса кошельков не получат никакой аллокации в будущем. Сейчас разворачивается совершенно новый токен-контракт. Команда также подтвердила, что все пользователи Wetlist и стейкеры JUP, прошедшие квалификацию для оригинальной продажи, получат пропорциональный эирдроп по новому контракту.

Этот шаг гарантирует, что настоящие пользователи всё же получат доступ, даже после неудачного запуска. Humidifi также подтвердила, что команда Temporal переписала контракт DTF, а OtterSec провела полный аудит обновленного кода. Цель — предотвратить повторение автоматизированных атак пакетных покупок на следующей продаже. Теперь новая публичная продажа назначена на понедельник. Свежие детали команда опубликует до запуска.

Как атака работала в блокчейне

Эксплойт опирался на скорость, пакетирование и масштаб. Каждый кошелек держал фиксированный баланс USDC. Вместо отправки отдельных ордеров, злоумышленник создал инструкции, работавшие как заранее загруженные «кнопки покупки». Когда продажа стартовала, множество транзакций запускали по шесть инструкций в каждой. Это позволяло злоумышленнику совершать огромный объем покупок одним рывком.

При отправке нескольких пакетов подряд весь объем исчезал, прежде чем люди успевали среагировать. Этот метод подчеркивает растущую проблему среди запусков на Solana: пакетное выполнение и фермы кошельков продолжают доминировать в слабо защищенных публичных продажах. Без серьезной защиты на уровне смарт-контрактов даже честные продажи остаются уязвимыми для автоматизированного капитала.

Доверие сообщества пошатнулось, но реакция команды снизила опасения

Реакция Humidifi была прямой и быстрой. Вместо оправданий команда признала неудачу и немедленно перешла к защите настоящих пользователей. Решение перезапустить с аудированным кодом и исключить адреса ботов помогло снизить первоначальный негатив. Время также было чувствительным: недавно Humidifi подверглась критике по поводу своей структуры комиссий и прибыльности, всего за несколько дней до провалившейся публичной продажи. Этот контекст сделал пятничный провал ещё более резонансным в кругах Solana DeFi.

Тем не менее, быстрый перезапуск показывает, что команда понимает, какой урон может нанести запуск, контролируемый ботами. Если продажа в понедельник пройдет чисто, это может восстановить доверие. Если провалится снова — доверие может исчезнуть гораздо быстрее. Сейчас ясно одно: в первом раунде победили боты. Humidifi ставит всё на победу во втором.