Bu iki DeFi protokolü nasıl 11 milyon dolarlık ‘yeniden giriş saldırısına’ düştü
15 Mart’ta bir saldırgan, iki DeFi platformundan 11 milyon doların üzerinde sifon aldı, Sabır otu ve yüz finans. Soruşturmaya göre, Gnosis zincirindeki her iki protokolde de hızlı bir kredi ‘yeniden giriş saldırısı’ olduğu ortaya çıktı. Benzer şekilde, platformlar daha fazla hasarı önlemek için sözleşmelerini durdurdu.
Hasarın değerlendirilmesi
Solidity geliştiricisi ve bir NFT likidite protokolü uygulamasının yaratıcısı, Şegen 16 Mart’ta attığı bir dizi tweet’te hack’i öne çıkarmayı seçti. Şaşırtıcı bir şekilde, bu analiz, yukarıda bahsedilen varlığın aynı istismarda 225.000 dolar kaybetmesinden sonra geldi.
Halihazırda birkaç iyi ileti dizisi (ve çok erken konuşan bazı kötü ileti dizileri) vardı. @Agave_lending ve @YüzFinans bugün hack.
İşte istismardan 225 bin dolardan fazla kaybettikten ve neler olduğunu keşfettikten sonra analizim ve yansımam 👇
– Shegen (@shegenerates) 15 Mart 2022
Ön araştırmaları, saldırının Gnosis Zincirinde bir wETH sözleşme işlevinden yararlanarak çalıştığını ortaya çıkardı. Uygulamalar borcu hesaplamadan önce saldırganın kriptoyu ödünç almaya devam etmesine izin verdi ve bu da daha fazla borçlanmayı önleyecekti. Dolayısıyla suçlu, protokollerden fonlar boşalana kadar, yayınladıkları aynı teminat karşılığında borç alarak söz konusu istismarı taşıdı.
İşleri daha da kötüleştirmek için, fonlar güvenli değildi. Neredeyse sonsuza kadar gittiler, ama hala umut var. katma. Bununla birlikte, Gnosis’in kurucusu Martin Koppelmann, kaosun ortasında bir miktar kesinlik getirmek için tweet attı. Koppelmann’ın iddiası,
söz veremeyiz ve önce gerçekten ne olduğunu anlamalıyız. Ancak, genel olarak, örneğin fon ödünç alarak / fon yatırımı yaparak, kullanıcıların fon kaybetmelerini önlemeye çalışacak bir GnosisDAO teklifini destekliyorum. @Agave_lending
– Martin Köppelmann 🇺🇦 (@koeppelmann) 15 Mart 2022
Biraz daha araştırma yaptıktan sonra, saldırganın bu sözleşmeyi 3 işlevle dağıttığı iddia edildi; 21120283 ve 21120284 numaralı bloklarda, bilgisayar korsanı, etkilenen protokol Agave ile doğrudan etkileşim kurmak için sözleşmeyi kullandı. Agave’deki akıllı sözleşme, esasen 18,4 milyar dolarlık güvence sağlayan Aave ile aynıydı.
AAVE’de rapor edilen herhangi bir açık olmadığından, Agave nasıl boşaltılabilir? işte bir Özet nasıl “kasıtsız olarak” güvenli olmayan bir şekilde kullanıldığına dair.
Weth sözleşmesi, birisi weth’i GC’ye ilk kez taşıdığında uygulandı. Köprüye her yeni jeton getirdiğinizde, bunun için yeni bir jeton sözleşmesi oluşturulur.
callAfterTransfer işlevi, jetonları doğrudan köprüye göndermenizi ve onları sonsuza kadar kaybetmenizi önlemenize yardımcı olur. pic.twitter.com/ZiAZAcTtSI
– Shegen (@shegenerates) 15 Mart 2022
Söz konusu hacker, agavda teminatlarından daha fazlasını ödünç alabildi. Böylece, ödünç alınabilir tüm varlıklarla uzaklaşır.
Kaynak: heyecan
Ödünç alınan varlıklar 2.728.9 WETH, 243.423 USDC, 24.563 LINK, 16.76 WBTC, 8.400 GNO ve 347.787 WXDAI’den oluşmaktadır. Genel olarak, bilgisayar korsanı yaklaşık 11 milyon dolar kazandı.
Yine de Shegen, Agave geliştiricilerini saldırıyı engelleyemediği için suçlamadı. Geliştiricilerin güvenli ve güvenli bir AAVE tabanlı kod çalıştırdığını söyledi. Rağmen Kullanılmış güvenli olmayan belirteçlerle, güvenli olmayan bir şekilde.
“GC’deki tüm DeFi protokolleri, mevcut köprülü belirteçleri yenileriyle değiştirmelidir” dedi.
Blockchain güvenlik araştırmacısı Mudit Gupta tekrarlandı istismarın arkasında benzer bir neden.
Agave ve Hundred Finance, bugün Gnosis zincirinde (eski adıyla xDAI) istismar edildi.
Saldırının altında yatan neden, Gnosis’teki resmi köprülü jetonların standart olmaması ve jeton alıcısını her transferde çağıran bir kancaya sahip olmasıdır. Bu, yeniden giriş saldırılarını mümkün kılar. pic.twitter.com/8MU8Pi9RQT
– Mudit Gupta (@Mudit__Gupta) 15 Mart 2022