Команда, стоящая за эксплуатацией приложения децентрализованного финансирования (DeFi) Jimbos Protocol, предложила эксплуататору приложения сделку: оставить себе 10% средств и вернуть остальные 90%, иначе они будут привлечены к ответственности. В противном случае команда «не остановится», пока нападающий не окажется «за решеткой». Предложенная сделка была раскрыта в твите командой Jimbos от 28 мая и опубликована в сети Ethereum.
To the attacker: keep a fast $800k payday, and live to tell the tale. We won’t pursue you if you send back the 90%. But if you don’t, we won’t stop until you’re behind bars.
You can open communications with us at Helloitsjimmy@proton.me
— Jimbos Protocol (v2, soon) (@jimbosprotocol) May 29, 2023
28 мая в 7:25 утра по всемирному координированному времени команда разместила сообщение в сети Ethereum, в котором говорилось, что злоумышленник не будет привлечен к ответственности, если 90% средств будут возвращены.
По-видимому, не получив ответа, команда опубликовала еще одно сообщение в 19:07, дав злоумышленнику крайний срок «завтра к 16:00 UTC» для возврата 90% средств и предупредив, что команда «начнет работать с правоохранительными органами». », если средства не были возвращены.
Это второе сообщение также было размещено в официальном Twitter-аккаунте протокола.
29 мая, после истечения крайнего срока, команда объявила в Твиттере, что она «выявила многообещающие зацепки, и в частности одну», которая может позволить Jimbos идентифицировать злоумышленника. Команда предупредила злоумышленника, что «мы не хотим, чтобы чья-то жизнь была разрушена, но, не имея выбора, мы будем делать то, что скажем», подразумевая, что протокол будет выполнен с угрозой обратиться в полицию, если злоумышленник не подчинится..
Связанный: Как IRS конфисковала криптовалюту на сумму 10 миллиардов долларов, используя аналитику блокчейна
Jimbos описывает себя как «протокол реактивной концентрированной ликвидности». Он пытается удерживать цену своего токена JIMBO выше установленной минимальной цены, накапливая эфир (ETH) в казне протокола и используя его для защиты цены токена.
28 мая протокол стал жертвой атаки на срочную ссуду, когда эксплуататор вывел 7,5 млн долларов из пула ликвидности, принадлежащего казначейству. Согласно анализу Numen Cyber Labs, злоумышленник воспользовался уязвимостью в контракте JimboController, которая позволяла любому вызывать функцию shift() и добавлять ликвидность в пул. Это позволило эксплуататору манипулировать ценой продажи токена JIMBO при обналичивании, в процессе чего из пула было выведено эфира на сумму 7,5 миллионов долларов.
Эксплойты DeFi — распространенная проблема в экосистеме Web3. Но, к счастью для пользователей, эксплуататоры иногда возвращают большую часть средств после переговоров с командами разработчиков.13 марта Euler Finance был взломан на сумму более 195 миллионов долларов, что на данный момент является крупнейшей атакой 2023 года. Но злоумышленник впоследствии вернул почти все средства. Аналогичным образом эксплуатировался протокол ликвидности Sentiment 4 апреля, но 6 апреля злоумышленник вернул 85% эксплуатируемых средств.
Команда Jimbos Protocol утверждает, что работает с теми же «исследователями безопасности и сетевыми аналитиками», которые расследовали эти два предыдущих инцидента.
