9 августа компания PeckShield, занимающаяся безопасностью блокчейна, обнаружила новые уязвимости, нацеленные на проекты децентрализованного финансирования (DeFi)..
#PeckShieldAlert ~$287K #Ethereum pic.twitter.com/TOQ9oSzcGN
— PeckShield Inc. (@peckshield) August 9, 2023
Атака с повторным входом подобна обману банкомата, который несколько раз выдает вам деньги, прежде чем он поймет, что у вас их не осталось. Это происходит путем скрытого ввода и вывода запроса на получение денег, обманывая систему, заставляя ее предоставить злоумышленнику больше средств, чем у нее есть. Точно так же на компьютерах злоумышленники используют этот трюк, чтобы получить больше доступа или ресурсов, чем им нужно, путем многократного вызова функций, взаимодействующих с контрактами, до завершения первого вызова функции.
Неясно, связана ли атака с эксплойтами в пулах Curve Finance. Стабильные пулы протокола DeFi также подверглись повторным атакам 30 июля, в результате чего было потрачено более 61 миллиона долларов. Взлом Curve был вызван уязвимостью, затрагивающей три версии языка программирования Vyper — распространенного контрактного языка, широко используемого разработчиками протоколов DeFi.
Связанный: эксплойт Curve-Vyper: вся история на данный момент
Earning Farm разработан как удобный протокол для держателей эфира, Биткоин (wBTC) и долларовых монет (USDC). Как указано на ее веб-сайте, охранная фирма Slowmist провела аудит своих контрактов на блокчейн.
Это не первая атака на протокол. В октябре 2022 года компания Earning Farm подверглась двум злонамеренным взломам своего EFLeverVault посредством атак с использованием флэш-кредитов, в результате чего из протокола было выкачано 750 эфиров. В атаках с использованием флэш-кредита хакер занимает крупную сумму в криптовалюте за одну транзакцию, манипулирует ее стоимостью с помощью различных транзакций, а затем возвращает кредит — и все это в рамках одной транзакции. Эти атаки используют несоответствия цен и временные дисбалансы в системе для получения прибыли.
