שירות Ethereum Alarm Clock נפל קורבן לניצול האחרון של Hacktober שהביא להפסדים בשווי 260,000$.
PeckShield מדווח על התקפת שעון מעורר
ETH בשווי של כ-260,000 דולר נגבה כאשר האקרים ניצלו באג בקוד החוזה החכם עבור שירות השעון המעורר Ethereum. החדשות הובאה לראשונה לעיני הציבור על ידי חברת האבטחה והנתונים של הבלוקצ'יין PeckShield, שחשפה כי האקרים הצליחו לתמרן פרצה בקוד התזמון, ולאפשר להם להרוויח מדמי גז שהוחזרו על עסקאות שבוטלו. נכון לעכשיו, ניתן להשתמש בפרוטוקול לתזמון עסקאות עתידיות על ידי הזנת כתובת כונס נכסים, כמות הכספים שיש להעביר, וזמן העסקה. המשתמשים חייבים לשמור את הכמות הנחוצה של Ether כדי לשלם דמי דלק עבור העסקה מראש. במקרה של עסקאות שבוטלו, דמי הגז שנוכו מוחזרים לארנק המקור.
מנגנון ניצול הסבר
ניתן לסכם את מנגנון הניצול כתוקפים שמתקשרים לפונקציות ביטול בחוזי Ethereum Alarm Clock שלהם עם עמלות עסקה מנופחות. באג בחוזה החכם החזיר לעבריינים ערך גבוה יותר של דמי דלק ממה ששילמו בתחילה. PeckShield דיווחה ש-51% מההחזר המנופח הזה שולמו לכורים, ובכך הגדילו את הערך הניתן לחילוץ הכורים שלהם (MEV).
החברה צייצה בטוויטר,
"אישרנו ניצול פעיל שעושה שימוש במחיר גז עצום כדי לשחק בחוזה TransactionRequestCore לתגמול במחיר של הבעלים המקורי. למעשה, הניצול משלם את 51% מהרווח לכורה, ומכאן תגמול MEV-Boost העצום הזה".
לפי חברת אבטחה אחרת, Supremacy Inc., הניצול הביא לאובדן של כ-204 ETH.
Hacktober ממשיך
2022 כבר ראתה מספר שיא של פריצות ל-DeFi. מתקפת השעון המעורר היא האחרונה בשורה ארוכה של פריצות לפרוטוקול שניצלו באגים בקודי חוזים חכמים, במיוחד בחודש אוקטובר, שמכונה גם Hacktober. לאחרונה, שוק מולה נפרץ תמורת 9 מיליון דולר על ידי מניפולציה של המחיר של אסימון MOO המקורי של פרוטוקול ההלוואות על ידי רכישת האסימון בשווי 45,000 דולר והפקדתו כבטוחה לצורך השאלת אסימוני CELO. למרבה המזל, ההאקר החזיר את רוב הכספים תוך שמר על 500,000$ כפרס באג. פרוטוקולים אחרים שניצלו באוקטובר הקרוב כוללים את ארנק BitKeep ופרוטוקול DeFi סוברין, ששניהם הפסידו כמיליון דולר כל אחד. עם זאת, הראוי ביותר לציון הוא שוקי מנגו פריצה, שהביאה לכך שקרנות בשווי 117 דולר נגרמו מפלטפורמת ההלוואות בשבוע השני של Hacktober.
הצהרת אחריות: מאמר זה ניתן למטרות מידע בלבד. הוא אינו מוצע או מיועד לשמש כייעוץ משפטי, מס, השקעה, פיננסי או אחר.
מקור: https://cryptodaily.co.uk/2022/10/ethereum-alarm-clock-targeted-in-hacktober