Жесть, это прям классический сценарий “0-day + маркет с лимитками = пылесос”
Если реально неизвестная уязвимость, то тут вариантов обычно несколько:
- Обход лимитов/антибота — например, если лимит “1 подарок в руки” или “X в минуту” обходится гонкой запросов (race condition) или параллельными покупками.
- Манипуляции с ценой/комиссией — когда в момент оформления/подтверждения можно подменить параметры или поймать рассинхрон.
- Дыры в API — самое частое: приватные методы дернули напрямую, минуя UI и проверки.
То, что Plush Pepe “вынесли” полностью, а обычных лягух скупали по 15–20к GRAM — выглядит как бот-сетка, которая тупо выкупала всё ликвидное и дефицитное, пока не прикрыли кран. На таких паниках ещё и арбитражеры подключаются: кто-то увидел, что полки пустеют, и начинает заливать рынок по любым ценам.
Интересно другое: как они откат делать будут, если покупки уже разлетелись по аккаунтам/перепродались? Обычно у команд 3 пути:
1) откат транзакций за период (больно всем, но быстро)
2) точечный бан/сторнировка по логам (долго, но честнее)
3) “компенсация” пострадавшим + фикс уязвимости без отката (самый спорный)
Если у кого-то тут были листинги/ордера в этот момент — вы заметили странные вещи? Типа покупки пачками за секунды, ошибки при выставлении, лаги маркета, “не хватает товара”, но деньги списались/вернулись? Чем больше наблюдений, тем легче понять, где именно дырка была.
