Lendhub, פלטפורמת הלוואות קריפטו צולבת שרשרת קטנה יחסית הפועלת ב-HECO, נוצלה בהיקף של 6 מיליון דולר מוקדם יותר בינואר.
התקפה אפשרית רק בגלל קידוד לקוי
המתקפה בוצעה עקב הסרה שבוצעה בצורה גרועה של IBSV cToken שהוצא משימוש. להחלפתו, שכבר הייתה פעילה, הייתה אז נקודת מחיר זהה, אשר מותר השחקן הרע והלא ידוע לתמרן את התמחור ולנקז בקריפטו בשווי של כ-6 מיליון דולר מהפלטפורמה.
על פי חוקר אבטחת בלוקצ'יין הלבורן, ניתוח נכון של המתקפה יהיה קשה לביצוע מכיוון שהחוזים החכמים האחראים למחירם של שני האסימונים לא אומתו. יתר על כן, החוזים החכמים עצמם לא הותקפו, אלא רק האסימונים עצמם, שלא היו צריכים להיות רשומים בו זמנית.
"בעוד שהחוזים החכמים הרלוונטיים אינם מאומתים - מה שמקשה על ניתוח מעמיק - התוקף לא היה צריך לנצל פגיעויות של חוזים חכמים כדי לבצע את המתקפה הזו. המתקפה הייתה אפשרית רק בגלל ששתי גרסאות מתחרות של אותו אסימון היו זמינות בשוק".
נסיגה חלקית במקום
קצת יותר מ-1100 ETH, בשווי של כ-1.79 מיליון דולר באותה עת, נשלחו ל-TornadoCash שעות ספורות לאחר הניצול.
עם זאת, נראה ששאר הכספים הגנובים זזים שוב, על פי פקשילד ובאוסין.
2415 ETH, בשווי של למעלה מ-3.8 מיליון דולר בזמן כתיבת מאמר זה, נשלח מארנק הקשור למתקפה אל TornadoCash.
#PeckShieldAlert ~ 2,415.4 $ ETH (~3.85 מיליון) לתוך Tornado Cash מ @LendHubDefi מנצלים
LendHub נוצל, וקריפטוס בשווי 6 מיליון דולר נגנבו מהפרוטוקול שלה ב-12 בינואר.https://t.co/vDxHlTgR0o pic.twitter.com/8FZY3v2Fe3— PeckShieldAlert (@PeckShieldAlert) פברואר 27, 2023
זה מעלה את הסכום הכולל שהועבר ל-TornadoCash ל-3515.4 ETH, כיום בשווי של למעלה מ-5.7 מיליון דולר. מאות האלפים הנותרים עדיין חבויים בארנקו של התוקף וכנראה יישלחו למערבל קריפטו בקרוב.
למרבה המזל, יש מעטפת כסף לסיפור הזה - זה היה הגדול ביותר לתקוף על חברת קריפטו במהלך חודש ינואר והיא רחוקה מאוד מהתקפות הרמוני או רונין בשנה שעברה. בסך הכל, בחודש ינואר אבד קריפטו בשווי 8.8 מיליון דולר כתוצאה מפריצות, ירידה של למעלה מ-90% בערך הגנוב בהשוואה לינואר 2022.
בין אם זה בגלל מפתחים שמתחילים להתייחס לאבטחה יותר ברצינות או גורמים אחרים, חשוב להישאר מודעים לכך שאבטחת סייבר היא קרב מתמיד - ואם מפתחים רוצים לשמור על רקורד חיובי, עדיף להם להישאר ערניים.
Binance חינם $100 (בלעדי): השתמש בקישור זה להירשם ולקבל 100$ בחינם ו-10% הנחה על עמלות על Binance Futures בחודש הראשון (מונחים).
מבצע מיוחד של PrimeXBT: השתמש בקישור זה כדי להירשם ולהזין את קוד POTATO50 כדי לקבל עד $7,000 על ההפקדות שלך.
מקור: https://cryptopotato.com/lendhub-exploiter-moves-proceeds-to-tornadocash/