Я увидел, как DEX-протокол потерял $4 млн за 11 секунд. И это не был эксплойт

Вчера в 14:22 UTC на одном из топ-20 DEX по объёму произошёл странный инцидент. Пул ETH/USDC на $180 млн ликвидности за 11 секунд сдвинул цену на 34%. Арбитражники заработали ~$4 млн. Биржи написали «exploit», пользователи запаниковали. Я поднял мемпул. Это не был эксплойт. Это был один кошелёк, который исполнил серию из 47 swap'ов через flash-loan на Aave. Схема: занять $80 млн → сдвинуть цену в одном пуле → продать в другом → вернуть долг → забрать разницу. Всё в одной транзакции. Протокол не взломали. Протокол работал ровно так, как был написан. Проблема была в дизайне пула: константа k была настроена так, что крупные ордера давали слишком большое проскальзывание. Разработчики это знали — они оставили комментарий в коде: «FIXME: slippage too high for large trades». Комментарий висел там 14 месяцев. Мораль: в DeFi 90% «взлома» — это не уязвимости кода. Это уязвимости дизайна. И они всегда помечены FIXME.