Протокол кредитования децентрализованного финансирования (DeFi) Euler Finance стал жертвой атаки на мгновенное кредитование 13 марта, что привело к крупнейшему взлому криптовалюты в 2023 году. Протокол кредитования потерял почти 197 миллионов долларов в результате атаки, а также затронул более 11 других протоколов DeFi.
14 марта Euler опубликовал обновленную информацию о ситуации и уведомил своих пользователей о том, что они отключили уязвимый модуль Etoken для блокировки депозитов и уязвимой функции пожертвований.
Фирма заявила, что они работают с различными группами безопасности для проведения аудита ее протокола, а уязвимый код был проверен и одобрен в ходе внешнего аудита. Уязвимость не была обнаружена в рамках аудита.
Уязвимость оставалась в сети в течение восьми месяцев, пока ее не использовали, несмотря на то, что в течение этого времени действовала награда за обнаружение ошибок в размере 1 миллиона долларов.
Sherlock, аудиторская группа, которая в прошлом работала с Euler Finance, проверила основную причину эксплойта и помогла Euler подать претензию. Позже в протоколе аудита было проведено голосование по иску на 4,5 миллиона долларов, которое было принято, а затем 14 марта была произведена выплата в размере 3,3 миллиона долларов.
Группа аудита в своем аналитическом отчете отметила, что основным фактором эксплойта было отсутствие проверки работоспособности в donateToReserves(), новой функции, добавленной в EIP-14. Однако в протоколе подчеркивалось, что атака была технически возможна даже до появления EIP-14.
Связанный: более 280 блокчейн подвержены риску эксплойтов «нулевого дня», предупреждает охранная фирма
Шерлок отметил, что аудит Эйлера, проведенный WatchPug в июле 2022 года, пропустил критическую уязвимость, которая в конечном итоге привела к эксплойту в марте 2023 года.
Эйлер также обратился к ведущим компаниям, занимающимся аналитикой и безопасностью блокчейна, таким как TRM Labs, Chainalysis и более широкому сообществу безопасности ETH, чтобы помочь им в расследовании и возврате средств.
Эйлер уведомил, что они также пытаются связаться с ответственными за атаку, чтобы узнать больше о проблеме и, возможно, договориться о награде за возвращение украденных средств.
