Dexible un Platypus DeFis, ko iztukšojuši uzbrucēji; vai hakeri atgriezīs līdzekļus ietekmētajām komandām?
Šodien, 17. gada 2023. februārī, ļaundari uzbruka diviem decentralizēto finanšu (DeFi) protokoliem Avalanche (AVAX) blokķēdē. Šķiet, ka ķēdes pētniekiem izdevās atrast vismaz vienu hakeri.
Viena diena, divi uzbrukumi
Ap pulksten 11:05 UTC kriptovalūtas drošības firma PeckShield ievietoja brīdinājumu par iespējamu DeFi uzlaušanu. Dexible, vairāku blokķēžu algoritmiskās tirdzniecības DeFi protokols, kuram ir versijas Ethereum (ETH), Avalanche (AVAX), Poly Network (POLY), BNB ķēdē (BSC) un tā tālāk, zaudēja vairāk nekā 1.5 miljonus ASV dolāru kodu bāzes ievainojamības dēļ.
Hi @DexibleApp, jums, iespējams, būs jālūdz lietotājiem atsaukt kvotu! (Zaudējums jau ir > 1.5 miljoni USD). Šeit ir viens hack tx: https://t.co/A076AeXsPz pic.twitter.com/HRQ8MBTSGm
- PeckShield Inc. (@peckshield) Februāris 17, 2023
Ievainojamība tika atrasta mijmaiņas maršrutētāja līgumā. Uzbrucējs nekavējoties sāka naudas atmazgāšanu caur Tornado Cash (TORN) mikseri. Saskaņā ar pirmo pēcnāves gadījumu, kas tika publicēts pirms dažām minūtēm, faktiskais zaudējumu apjoms vēl nav aprēķināts:
Tas ļāva hakeram nozagt līdzekļus no jebkura maka, kuram bija neiztērēta līguma atļauja.
Šobrīd komanda strādā pie atveseļošanās plāna. Visi līgumi ir apturēti. Vakar komanda aicināja visus lietotājus migrēt uz jaunu viedā līguma versiju.
Arī Platypus, uz Avalanche balstīts decentralizēts stabilu monētu protokols, cieta no 8.5 miljonu dolāru uzbrukuma. Ļaundabniekiem izdevās sarīkot zibatmiņas aizdevuma uzbrukumu; projekta USP stabilā monēta noslīdēja zem 0.5 USD. Sadarbībā ar Tether Limited komandai izdevās iesaldēt līdzekļus uzbrucēja USDT kontā.
ZachXBT nāk palīgā: var tikt atrasts pīļknābja uzbrucējs
Šobrīd komanda risina sarunas ar Binance un Circle, lai bloķētu pārējo uzbrucēju laupījumu.
Pieredzējis kriptovalūtu pētnieks ZachXBT palīdz DeFi komandai atgūt līdzekļus. Viņš apgalvoja, ka atklājis uzbrucēja Twitter kontu. Iespējams, ka uzbrucējs izmanto domēnu retlqw.eth ENS.
Hi @retlqw jo jūs deaktivizējāt savu kontu pēc tam, kad es jums nosūtīju ziņojumu.
Esmu izsekojis adreses līdz jūsu kontam no @Platypusdefi izmantot, un es sazinos ar viņu komandu un apmaiņu.
Mēs vēlamies vienoties par līdzekļu atdošanu, pirms sadarbojamies ar tiesībaizsardzības iestādēm. pic.twitter.com/oJdAc9IIkD
— ZachXBT (@zachxbt) Februāris 17, 2023
Pēc šī paziņojuma retlqw.eth deaktivizēja gan savus Twitter, gan Instagram kontus. Tomēr ZachXBT izdevās piedāvāt viņam naudas balvas Platypus komandas vārdā.
Avots: https://u.today/two-avalanche-avax-defis-hacked-in-one-day