פלטפורמת הלוואות Ethereum XCarnival מאושר שחקן גרוע גנב 3.8 מיליון דולר או 3,087 ETH. על פי דיווח של חברת האבטחה ברשת Peck Shield, האקר ניצל פגיעות בחוזה החכם של הפרוטוקול על ידי השאלת ETH ויצירת "מספר פקודות משכון לשעבוד BAYC (Bored Ape Yacht Club NFTs) פעמים רבות".
קריאה קשורה מורגן קריק אמור להציע הצעה להבטיח 250 מיליון דולר למניעת חילוץ FTX BlockFi
XCarnival פועלת כמאגר הלוואות אסימונים לא ניתנים (NFT). הפלטפורמה מאפשרת לבעלי NFT להפקיד את נכסיהם בתמורה לנזילות. תהליך זה כולל שלושה חוזים חכמים: מנהל NFT, P2Controller לניהול הגבלות הלוואות ואחסון כספים, כמו אמור על ידי חברת אבטחה אחרת Go+ Security.
ההאקר קנה פריט 5110 מקולקציית Bored Ape Yacht Club NFT ב-OpenSea. מאוחר יותר, הוא הפקיד את הנכס הזה ב-XCarnival וביצע מתקפה כדי "להשתמש באותו NFT לצורך הלוואות".
במילים אחרות, התוקף הצליח לשעבד את ה-NFT, לווה ETH, ולאחר מכן להסיר את ה-NFT מבלי להחזיר את ההלוואה. השחקן הרע השלים את התהליך הזה כמה פעמים עד שהבריכה התרוקנה.
Go+ Security הסביר שההאקר יצר חוזה מאסטר חכם וכמה חוזים חכמים "עבדים" לביצוע המתקפה:
ואז Slave 5338 משך את ה-NFT ושלח אותו בחזרה למאסטר, שחזר על התהליך הזה עם עבדים אחרים. בדרך זו הם יצרו מזהי הזמנה רבים, שיכולים לשמש מאוחר יותר כאישורי הלוואה. אבל חוזה xNFT פגום לא ביטל את האישור לאחר הנסיגה.
XCarnival's מופעל עם פגיעות בחוזים החכמים שלו, שהוזכרו לעיל, המאפשרים את ההתקפה אם המשתמש נשאר בטווח מסוים. Go+ Security הוסיפה על המתקפה ועל פגיעות החוזה החכם: "הבטחונות עדיין בתוקף לאחר הנסיגה. זהו באג מאוד פשוט ונאיבי בהטמעת חוזה."
לאור המתקפה המוצלחת, פרוטוקול ההלוואות NFT מבוסס Ethereum החליט להציע להאקר עסקה.
פלטפורמת Ethereum עושה עסקאות עם התוקף שלה
לפי חשבון הטוויטר הרשמי שלו, ה-XCarnival הציע להאקר פרס של 1,500 ETH או 1.8 מיליון דולר. חצי מהכספים הגנובים. התוקף רק היה צריך להחזיר את החצי השני והם צריכים לשמור על הכסף ולא לסבול מהשלכות משפטיות.
הצוות מאחורי הפלטפורמה אישר שההאקר הסכים לתנאים. מחצית מהכספים הגנובים הוחזרו לבריכה. פלטפורמת ההלוואות Ethereum טוענת כי "סוכנויות אבטחה קבעו באופן טנטטיבי את מיקומו הגיאוגרפי של ההאקר".
נראה שההצהרה הזו מרמזת על השלכות משפטיות אפשריות עבור התוקף, אך הצוות מאחורי הפרויקט הזה עדיין לא מספק מידע נוסף.
7/8 כספים הוחזרוhttps://t.co/oRwSsGgT6U pic.twitter.com/YgXZ9DTj03
— Tal Be'ery (@TalBeerySec) יוני 27, 2022
זו לא הפעם הראשונה שהאקר מסכים להחזיר חלק או את מלוא הכספים שנגנבו. כמה האקרים תוקפים פלטפורמות פיננסיות מבוזרות (DeFi) ולעיתים קרובות החזיקו את הכסף כבן ערובה עד שהם מקבלים תשלום עבור מה שנחשב בעיניהם כ"שירות". לפרויקטים אחרים יש פחות מזל ומשלמים את המחיר האולטימטיבי.
קריאה קשורה הרמוני משתלשלת פרס של מיליון דולר על החזר של 1 מיליון דולר גנוב - האם זה מספיק?
בזמן הכתיבה, Ethereum (ETH) נסחר ב-$1,180 עם הפסד של 3% ב-24 השעות האחרונות.
מקור: https://bitcoinist.com/ethereum-platform-attacked-made-deal-the-hacker/