ב-15 במרץ, תוקף סינק מעל 11 מיליון דולר משניים DeFi פלטפורמות, אגבה ו מאה פיננסים. נראה היה שמדובר בהלוואת בזק "התקפה חוזרת" על שני הפרוטוקולים על שרשרת גנוסיס לפי חקירה. כמו כן, הפלטפורמות עצרו את החוזים שלהן כדי למנוע נזק נוסף.
הערכת הנזק
מפתח Solidity ויוצר של an NFT אפליקציית פרוטוקול נזילות, שגן בחר להדגיש את הפריצה בסדרת ציוצים ב-16 במרץ. באופן מפתיע, הניתוח הזה הגיע לאחר שהישות הנ"ל הפסידה 225,000 דולר באותו ניצול.
כבר היו כמה שרשורים טובים (וכמה שרשורים גרועים שדיברו מוקדם מדי) בנושא @Agave_lending ו @HundredFinance פריצות היום.
הנה הניתוח וההשתקפות שלי, לאחר שרק הפסדתי מעל 225 אלף דולר מהניצול, וחקרתי מה קרה?
- שגן (@shegenates) במרץ 15, 2022
חקירות ראשוניות שלה חשפו שהמתקפה פעלה על ידי ניצול פונקציית חוזה wETH בשרשרת Gnosis. זה אפשר לתוקף להמשיך ללוות קריפטו לפני שהאפליקציות יוכלו לחשב את החוב, מה שימנע הלוואות נוספות. אם כן, האשם נשא את הניצול האמור על ידי הלוואות כנגד אותן בטחונות שהעמידו עד שהכספים יתרוקנו מהפרוטוקולים.
כדי להחמיר את המצב, הכספים לא היו בטוחים. "הם כמעט נעלמו לנצח, אבל עדיין יש תקווה", היא הוסיף. עם זאת, מייסד גנוסיס, מרטין קופלמן, אכן צייץ כדי להביא איזו ודאות בתוך הכאוס. קופלמן טען,
לא יכול להבטיח שום הבטחה, וקודם כל עלינו להבין באמת מה קרה. אבל בדרך כלל הייתי תומך בהצעה של GnosisDAO שתנסה למנוע ממשתמשים להפסיד כספים על ידי הלוואת כספים / השקעת כספים ב @Agave_lending
- מרטין קופפלמן ?? (@koeppelmann) במרץ 15, 2022
לאחר מחקר נוסף, התוקף לכאורה פרס את החוזה הזה עם 3 פונקציות; בבלוקים 21120283 ו-21120284, ההאקר השתמש בחוזה כדי ליצור אינטראקציה עם הפרוטוקול המושפע, Agave ישירות. החוזה החכם על Agave היה בעצם זהה ל-Aave, שהבטיח 18.4 מיליארד דולר.
מכיוון שלא דווח על ניצול AAVE, איך אפשר לנקז את האגבה? ובכן, הנה א תקציר כיצד נעשה בו שימוש בצורה לא בטוחה "בלא כוונה".
חוזה ה-weth נפרס בפעם הראשונה שמישהו עבר Weth ל-GC. בכל פעם שאתה מביא אסימון חדש על הגשר, נוצר עבורו חוזה אסימון חדש.
פונקציית callAfterTransfer עוזרת למנוע ממך לשלוח אסימונים ישירות לגשר ולאבד אותם לנצח pic.twitter.com/ZiAZAcTtSI
- שגן (@shegenates) במרץ 15, 2022
ההאקר האמור הצליח ללוות יותר מהבטחונות שלהם באגבה. בכך, מתרחק עם כל הנכסים שניתן לשאול.
מקור: טויטר
הנכסים הלווים כללו 2,728.9 WETH, 243,423 USDC, 24,563 LINK, 16.76 WBTC, 8,400 GNO ו-347,787 WXDAI. בסך הכל, ההאקר הסתלק עם כ-11 מיליון דולר.
אף על פי כן, שגן לא האשימה את מפתחי אגבה בכך שלא הצליחו למנוע את המתקפה. לדבריה, המפתחים הפעילו קוד מאובטח ובטוח מבוסס AAVE. למרות ש מְשׁוּמָשׁ עם אסימונים לא בטוחים, בצורה לא בטוחה.
"כל פרוטוקולי DeFi ב-GC צריכים להחליף אסימונים מגושרים קיימים בחדשים", סיכמה.
חוקר אבטחת בלוקצ'יין מודית גופטה חזרתי סיבה דומה מאחורי הניצול.
אגבה ומאה פיננסים נוצלו היום ברשת Gnosis (לשעבר xDAI).
הסיבה הבסיסית לפריצה היא שהאסימונים המגושרים הרשמיים ב- Gnosis אינם סטנדרטיים ויש להם וו שקורא למקלט האסימון בכל העברה. זה מאפשר התקפות כניסה חוזרת. pic.twitter.com/8MU8Pi9RQT
- Mudit Gupta (@Mudit__Gupta) במרץ 15, 2022
מקור: https://ambcrypto.com/how-these-two-defi-protocols-fell-prey-to-11-million-reentrancy-attack/