Платформа децентрализованного финансирования (DeFi) Fei Protocol предложила хакерам вознаграждение в размере 10 миллионов долларов за попытку договориться и вернуть большую часть украденных средств из различных пулов Rari Fuse на сумму 79 348 385,61 долларов или почти 80 миллионов долларов.
30 апреля Fei Protocol проинформировал своих инвесторов об эксплойте в многочисленных пулах Rari Capital Fuse, попросив хакеров вернуть украденные средства в обмен на вознаграждение в размере 10 миллионов долларов и обязательство «без вопросов».
Нам известно об эксплойте в различных пулах Rari Fuse. Мы определили основную причину и приостановили все заимствования, чтобы смягчить дальнейший ущерб. Эксплуататору: пожалуйста, примите награду в размере 10 миллионов долларов и не задавайте вопросов, если вы вернете оставшиеся пользовательские средства. — Fei Protocol (@feiprotocol) 30 апреля 2022 г.
Хотя точные данные об убытках от эксплойта официально не сообщались, система мониторинга BlockSec, занимающаяся расследованием DeFi, обнаружила убыток в размере более 80 миллионов долларов, указав основной причиной типичную уязвимость повторного входа. В то время как ошибки повторного входа были основным виновником многих эксплойтов в экосистеме DeFi, добыча в размере 80 миллионов долларов делает Fei Protocol одним из крупнейших взломов повторного входа за всю историю.
После дальнейших расследований разработчик Rari Джек Лонгарзо обнаружил в общей сложности шесть уязвимых пулов (8, 18, 27, 127, 144, 146, 156), которые были временно приостановлены, пока идет внутреннее исправление. На момент написания статьи внутренние и внешние инженеры по безопасности Rari сотрудничали с поставщиком услуг DeFi Compound Treasury для дальнейшего расследования и нейтрализации взлома.
Предоставляя дополнительную информацию о разработке, исследователь блокчейна PeckShield сузил эксплойт до ошибки повторного входа, которая позволяет хакерам использовать функцию и совершать внешние вызовы к другому ненадежному контракту.
Старая ошибка повторного входа снова проявляется на форках Compound с убытком в 80 миллионов долларов!На этот раз он повторно входит через exitMarket()!!!https://t.co/NpC8AAZRXc Осторожно, все разветвления Compound в цепочках, совместимых с EVM. Свяжитесь со своими аудиторами сейчас или не стесняйтесь обращаться к нам, если мы можем чем-то помочь pic.twitter.com/M9JElTWMSd— PeckShield Inc. (@peckshield) 30 апреля 2022 г.
Рейтинговая платформа CertiK, ориентированная на безопасность, сообщила Cointelegraph, что злоумышленник отправил 5400 эфиров (ETH) (~ 15 298 900 долларов США) на Tornado Cash и все еще держит 64 245 245,43 долларов США (22 672,97 ETH) в своем кошельке. Атака истощила средства из пула Rari, в то время как пулы Fei (Tribe, Curve) остались незатронутыми.
В прошлом году, 8 мая 2021 года, Rari Capital стала жертвой дорогостоящего эксплойта, связанного с интеграцией с Alpha Venture DAO (ранее Alpha Finance Lab). На момент составления отчета не было никаких официальных заявлений от команды Fei Protocol о результатах их расследования.
Связанный: планируйте вознаграждение за обнаружение ошибок на 1 миллион долларов и удвойте количество узлов после взлома Ronin на 600 миллионов долларов
По мере того, как криптовалютное сообщество ведет постоянно развивающуюся борьбу с хакерами, многочисленные проекты и протоколы решили усилить свои меры безопасности.28 апреля Ronin Network и Sky Mavis объявили о планах по обновлению своих смарт-контрактов — после взлома на 600 миллионов долларов в предыдущем месяце.
Мы подготовили вскрытие эксплойта Ронина, произошедшего 23 марта.• Почему это произошло • Что мы делаем, чтобы это никогда не повторилось • Обновление повторного открытия моста Roninhttps://t.co/FfwCtCG84E— Ronin (@Ronin_Network) 27 апреля 2022 г.
Федеральное бюро расследований (ФБР) приписало атаку находящейся в Северной Корее и спонсируемой государством хакерской группе Lazurus, поскольку она отправила предупреждение другим организациям, занимающимся криптовалютой и блокчейном.
Термины в новости
- DeFi
- Децентрализованные финансы: обмен, кредиты, депозиты и другие финансовые сервисы на смарт-контрактах, без банков и брокеров.
- Эксплойт (exploit)
- Атака, использующая ошибку в коде смарт-контракта или протокола, чтобы вывести средства. В отличие от взлома ключей, злоумышленник действует «по правилам» уязвимого кода.
- DAO
- Децентрализованная автономная организация: решения принимают держатели токенов голосованием, а исполняет их смарт-контракт.
- Смарт-контракт
- Программа в блокчейне, которая автоматически выполняет заданные условия: переводит средства, выпускает токены, выдаёт займы. Её код нельзя тайно изменить.
