Кредитна платформа Alchemix оголосила про повернення всіх вкрадених фінансовим хакером Curve коштів. Атака сталася 30 липня, в результаті якої було виведено понад 61 мільйон доларів у криптовалютах, у тому числі 13,6 мільйона доларів із пулу alETH-ETH Alchemix.
Разом з Alchemix, пул pETH-ETH JPEGd мав відтік на суму 11,4 мільйона доларів, а пул sETH-ETH Metronome було вичерпано на понад 1,6 мільйона доларів. Хакер націлився на стабільні пули на Curve Finance, використовуючи вразливі версії мови програмування Vyper через атаки повторного входу.
We are extremely happy to announce that all funds stolen by the hacker of the Alchemix @CurveFinance pool have now been returned.
Full post mortem coming.
— Alchemix (@AlchemixFi) August 5, 2023
Повернення коштів почалося після того, як хакер прийняв пропозицію баунті. Curve, Metronome та Alchemix спільно оголосили про ініціативу повернення вкрадених коштів 3 серпня, запропонувавши винагороду в розмірі 10% конфіскованих коштів і закликавши відповідальних за експлойт повернути решту 90%, що принесе винагородублизько 7 мільйонів доларів.
Пов’язане – експлойт Curve-Vyper: вся історія
Менш ніж через 24 години після пропозиції початковий зловмисник почав повертати кошти, вкрадені кількома днями раніше, спочатку надіславши 4820,55 Alchemix ETH (alETH) команді Alchemix Finance, перш ніж завершити транзакцію 5 серпня.
Зловмисник опублікував повідомлення, яке, схоже, було спрямоване на команди Alchemix і Curve, стверджуючи, що він готовий повернути кошти, але лише тому, що людина не хоче «руйнувати» залучені проекти.
«Я повертаю кошти не тому, що ви можете мене знайти, а тому, що я не хочу зруйнувати ваш проект», — йдеться в повідомленні в мережі.
Незамінний протокол токена JPEG’d також було відшкодовано, підтверджуючи, що хакер повернув 5495 Ether. У рамках пропозиції винагороди протокол не вживатиме судових заходів проти зловмисників.
«Будь-які подальші розслідування або судові справи проти організації будуть припинені. Ми розглядаємо цю подію як порятунок у білому капелюсі», – заявила команда JPEG’d.
Терміни в новині
- Експлойт (exploit)
- Атака, що використовує помилку в коді смарт-контракту чи протоколу, щоб вивести кошти. На відміну від зламу ключів, зловмисник діє «за правилами» вразливого коду.
- Транзакція
- Операція в блокчейні: переказ монет або виклик смарт-контракту, підписаний ключем відправника. Стає незворотною після підтвердження в блоці.
- Токен
- Цифровий актив, випущений поверх наявного блокчейну за допомогою смарт-контракту, а не у власній мережі. Наприклад, USDT у мережі Ethereum чи Tron.
