Пора честно поговорить о хуках.
В этом году 0x обработал 81,92 млн сделок на сумму $42,67 млрд, при этом примерно ~70% транзакций взаимодействуют с ликвидностью Uniswap.
Каждый месяц мы получаем десятки запросов на проверку и интеграцию v4-хуков, поэтому видели как хорошие, так и плохие примеры. Но в последнее время нам довелось увидеть и откровенно уродливые.
Хуки позволяют создавать действительно полезные приложения, включая пользовательские правила торговли и управление ликвидностью. Мы не утверждаем, что такие кейсы не нужны или что команды не должны использовать их для разработки; проблема в том, что безразрешительное поведение хуков вносит значительные новые компромиссы в исполнение и агрегацию сделок, особенно когда вредоносные пулы могут рекламировать котировки, которые не соответствуют тому, что в итоге получают пользователи.
За последние несколько недель 0x зафиксировал тревожный рост числа вредоносных хуков Uniswap v4, спроектированных так, чтобы устанавливать одну цену свопов при запросе котировки и другую — в момент исполнения сделки. Вредоносные хуки используют различные схемы, но результат один: кража средств пользователей путем обмана агрегаторов, кошельков и торговых приложений.
Ниже мы расскажем о том, что наблюдаем ончейн, и о действиях, предпринятых командой 0x.
Проблема хуков: открытость для разработчиков и злоумышленников
Начнем с хорошего: хуки v4 предложили рынку AMM слой инноваций — способ для разработчиков запускать AMM с пользовательской логикой, которая может исполняться в ключевые моменты жизненного цикла пула, например, до или после свопа или изменения позиции LP. Хуки можно запрограммировать на что угодно, развернуть может кто угодно, и с момента появления они автоматически наследуют дистрибуцию самой широко интегрированной площадки ликвидности в DeFi.
Здесь и кроется основной компромисс: тот же дизайн, который дает легитимным разработчикам больше выразительного контроля над ликвидностью и исполнением, также усложняет задачу агрегаторам по определению того, каким пулам можно доверять.
Помимо устранения трения для разработчиков, хуки создают бесконечное пространство для вредоносной активности. Вредоносному хуку не нужно строить узнаваемый бренд, убеждать пользователей посещать новый интерфейс или самостоятельно налаживать дистрибуцию. Ему достаточно лишь сделать свой пул привлекательным для систем, агрегирующих ликвидность.
Если агрегатор видит лучшую котировку, у него есть причина направить туда маршрут. Если кошелек или торговое приложение полагаются на этот агрегатор, то к вредоносному пулу можно получить доступ через ту же инфраструктуру, которой уже доверяют пользователи.
Вредоносные хуки
За последние 18 месяцев мы наблюдали взрывной рост количества хуков v4. Наш анализ (с использованием статического анализа, динамического анализа и наблюдения за исполненными сделками) 84 163 хуков на 6 блокчейнах показал, что только 19,4% безопасны, 54,2% являются вредоносными, а 26,4% вероятно вредоносны.
Данные на 11 сентября 2026 года
Схемы работы различаются — некоторые действуют как бросок игральной кости, другие анализируют среду EVM для обнаружения запроса котировки, — но базовое поведение единообразно: цена, которую рекламирует маршрут, не является ценой, которую пользователь может надежно ожидать получить. Мы наблюдали, что сделки, маршрутизированные через вредоносные v4-пулы, исполняются с результатом до 50% хуже, чем сумма, указанная в котировке для пользователя.
Вот несколько примеров:
Хук: 0x800cef53c3fd41109dffec62e5251bdd7acba5c7
- Блокчейн: Base
- Пара: ETH/NVDAc
- Всего исполнений: 6 516
- Исполнения с комиссией: 3 946 (60,6%)
- Диапазон комиссий: 0–18%
- Медианная комиссия по всем исполнениям: 17,96%
- Медианная комиссия при взимании: 18%
- Общая сумма взимаемых комиссий (USD): $143 037
Данные на 11 сентября 2026 года
Хук: 0x141984423d1a28242b3dd8888c5b0daa7b13c880
- Блокчейн: BNB
- Пара: USDT/WBNB
- Всего исполнений: 4 879
- Исполнения с комиссией: 1 619 (33,2%)
- Диапазон комиссий: 0–12,8%
- Медианная комиссия по всем исполнениям: 0%
- Медианная комиссия при взимании: 12,8%
- Общая сумма взимаемых комиссий (USD): $18 592
Данные на 11 сентября 2026 года
Главный вывод
Хуки были разработаны, чтобы сделать Uniswap более расширяемым, но они также открыли бесконечные возможности для злоупотреблений. Безразрешительная расширяемость сопряжена с компромиссами в исполнении и доверии, которые роутеры, приложения и пользователи не могут игнорировать. Это лето показало, что безразрешительная ликвидность не означает автоматически надежную ликвидность. Как и с распространением propAMMs, та же гибкость, которая позволяет разработчикам настраивать работу свопов, дает злоумышленникам новые способы манипуляции ими. В связи с этим мы считаем, что:
- Роутерам необходимо гарантировать, что заявленная сумма пула соответствует фактическому поведению при исполнении.
- Приложениям нужны механизмы для быстрого удаления подозрительных маршрутов.
- Пользователи должны понимать, что лучшая отображаемая котировка полезна только тогда, когда стоящий за ней маршрут безопасен.
И так же, как и в течение последнего десятилетия, мы предпринимаем конкретные шаги, чтобы защитить наших интеграторов и их пользователей от постоянно меняющейся когорты злоумышленников ончейн. В 0x мы предприняли несколько шагов, чтобы предотвратить появление таких пулов в маршрутах, включая передовые методы детекции и тщательную проверку пулов.
Спасибо, что строите вместе с 0x.
Этот блог изначально был опубликован на 0x.org.
