После того, как Euler Finance украла 196 миллионов долларов в результате атаки на быстрый кредит, в течение 25 дней убедила своего хакера вернуть большую часть средств. Результат был результатом многочисленных действий, которые в конечном итоге привели хакера к «правильному поступку».
13 марта хакер из Euler Finance провел несколько транзакций, каждая из которых тратила миллионы долларов в различных токенах, включая DAI (DAI), USD Coin (USDC), поставленный эфир (StETH) и обернутый биткоин (WBTC).
В результате общая стоимость смарт-контрактов Euler упала с более чем 311 миллионов долларов до 10,37 миллиона долларов. В конечном итоге 11 различных протоколов децентрализованного финансирования (DeFi), включая Balancer, Yearn Finance и Yield Protocol, либо заморозили, либо потеряли средства.
В 10:00 UTC участникам Balancer стало известно об эксплойте на Euler. Было определено, что лучшим способом действий будет приостановить и перевести в режим восстановления bbeUSD (Euler Boosted USD) и все пулы, содержащие bbeUSD. Это было выполнено аварийным subDAO в 11:00 UTC.
— Balancer (@Balancer) March 13, 2023
На следующий день, 14 марта, Euler предпринял активные меры по возврату средств, в первую очередь отключив уязвимый модуль etoken и функцию пожертвований. Кроме того, он работал с аудиторскими компаниями, чтобы проанализировать основную причину эксплойта.
Один из наших партнеров по аудиту, @Omniscia_sec, подготовил техническое вскрытие и подробно проанализировал атаку. Вы можете прочитать их отчет здесь: https://t.co/u4Z2xdutwe. Короче говоря, злоумышленник использовал уязвимый код, который позволил ему создать необеспеченный токен-долг…
— Euler Labs (@eulerfinance) March 14, 2023
Параллельно Эйлер пытался связаться с хакерами, чтобы договориться о награде.15 марта хакер получил ультиматум о возврате 90% украденных средств и пригрозил объявить вознаграждение в размере 1 млн долларов за информацию, которая может привести к аресту хакера. Эта сделка позволит хакеру уйти с $19,6 млн.
Хакер, с другой стороны, начал перемещать средства по своему желанию. Одна жертва получила 100 эфиров (ETH) после того, как убедила хакера в том, что его сбережения были потеряны в результате взлома Эйлера. В течение нескольких дней хакер начал возвращать украденные средства, стоимость которых различалась.
На фоне хаоса генеральный директор Euler Labs Майкл Бентли сообщил, что десять отдельных аудитов, проведенных в течение двух лет, признали протокол «не более чем низким риском» и «не имели нерешенных проблем».
21 марта Эйлер объявил награду в размере 1 доллара против хакера после того, как его заметили в середине разговора при попытке заключить сделку. Начиная с 25 марта хакер несколько раз начал возвращать украденные активы в больших количествах.
Через 23 дня после взлома, 4 апреля, Euler Finance объявила о полном возможном возмещении потерянных средств, тем самым прекратив выплату вознаграждения в размере 1 миллиона долларов. «Потому что эксплуататор поступил правильно и вернул средства, и кампания вознаграждения в размере 1 миллиона долларов, запущенная Фондом Эйлера, больше не будет принимать новую информацию», — говорится в протоколе.
Потому что эксплуататор поступил правильно и вернул средства, а кампания вознаграждения в размере 1 миллиона долларов, запущенная Фондом Эйлера, больше не будет принимать новую информацию. Полная информация последует завтра.
— Euler Labs (@eulerfinance) April 3, 2023
В последних транзакциях хакер отправил 12 миллионов DAI и 10 580 ETH несколькими транзакциями. Криптовалютное сообщество приветствовало усилия Euler Finance по возврату средств и восстановлению доверия инвесторов.
Связанный: Allbridge предлагает вознаграждение эксплуататору, который украл 573 тысячи долларов в атаке с флэш-кредитом
Gnosis, команда разработчиков Gnosis Safe multi-sig и Gnosis Chain, недавно запустила агрегатор хэш-оракулов для повышения безопасности мостов, требуя более одного моста для проверки вывода средств.
Как сообщалось, в 2021 и 2022 годах с мостов было украдено более 2 миллиардов долларов, в основном из-за ошибок и атак на кошельки.
Журнал: Huawei NFT, хакатон Toyota, Северная Корея против блокчейна: Asia Express
Термины в новости
- Смарт-контракт
- Программа в блокчейне, которая автоматически выполняет заданные условия: переводит средства, выпускает токены, выдаёт займы. Её код нельзя тайно изменить.
- DeFi
- Децентрализованные финансы: обмен, кредиты, депозиты и другие финансовые сервисы на смарт-контрактах, без банков и брокеров.
- Эксплойт (exploit)
- Атака, использующая ошибку в коде смарт-контракта или протокола, чтобы вывести средства. В отличие от взлома ключей, злоумышленник действует «по правилам» уязвимого кода.
- Хеш
- Результат работы хеш-функции — «цифровой отпечаток» данных фиксированной длины. Малейшее изменение данных полностью меняет хеш.
