У нового протокола децентрализованного финансирования ForceDAO было тяжелое начало: несколько вторжений со стороны хакеров произошли через несколько часов после его запуска.
Агрегатор доходности на основе Ethereum только что запустил свою кампанию аирдропа 3 апреля, когда четырем злонамеренным хакерам удалось вывести в общей сложности 183 ETH на сумму примерно 367 000 долларов в то время.Один дружелюбный хакер «в белой шляпе» также помог команде, предупредив их, чтобы предотвратить дальнейшие потери.
Команда опубликовала вскрытие атак и взяла на себя ответственность за то, что она назвала «инженерным надзором».
ПОСЛЕ СМЕРТИ Для сообщества Force и DeFi мы хотели бы поделиться вскрытием недавнего эксплойта xFORCE.Спасибо всем техническим и нетехническим, кто помогал на этом пути.Особенно Белой шляпе, которая помогла предотвратить истощение FORCE. Https://t.co/MK2GH69yLd
— Force (@force_dao) April 4, 2021
https://platform.twitter.com/widgets.js
После вторжения команда приняла решение перевести 60 миллионов токенов FORCE из казначейского кошелька с несколькими подписями в кошелек развертывателя, чтобы создать и провести три голосования, которые фактически сожгут балансы FORCE на трех адресах хакеров.
В ходе вскрытия выяснилось, что затронутая платформа xFORCE была форком смарт-контракта SushiSwap, содержащего механизм возврата токенов в случае неудачных транзакций.Протокол описывает xFORCE как «приносящую проценты» версию FORCE, представляющую доли в своих пулах, аналогично тому, как работают токены LP.
Ошибка в контракте, используемом ForceDAO, позволила злоумышленникам использовать этот механизм для чеканки токенов xFORCE, которые затем были изъяты и обменены на ETH на рынках.Команда признала, что атаку было относительно легко предотвратить.
“This could’ve been prevented by using a standard Open Zeppelin ERC-20 or adding a safeTransferFrom wrapper in the xSUSHI contract.”
Он добавил, что взлом в настоящее время расследуется, так как некоторые из адресов исходят от популярных бирж FTX и Binance.Будет сделан снимок, и проект будет повторно запущен с новым токеном xFORCE, добавил он.
После запуска и раздачи цены на токены FORCE выросли до более чем 2 долларов 4 апреля, но с тех пор упали более чем на 95% до 0,05 доллара на момент написания.
Термины в новости
- Аирдроп (airdrop)
- Бесплатная раздача токенов пользователям — за активность в проекте, владение другими монетами или выполнение заданий. Под видом аирдропов часто действуют мошенники.
- Смарт-контракт
- Программа в блокчейне, которая автоматически выполняет заданные условия: переводит средства, выпускает токены, выдаёт займы. Её код нельзя тайно изменить.
- Токен
- Цифровой актив, выпущенный поверх существующего блокчейна с помощью смарт-контракта, а не в собственной сети. Например, USDT в сети Ethereum или Tron.
- Транзакция
- Операция в блокчейне: перевод монет или вызов смарт-контракта, подписанный ключом отправителя. Становится необратимой после подтверждения в блоке.
