Heker posojilodajalcu NFT Omni izčrpa ETH v vrednosti 1.4 milijona dolarjev

Omni, platforma denarnega trga z nezamenljivimi žetoni (NFT), je bila izčrpana za približno 1,300 ETH (1.43 milijona USD) v napadu hitrega ponovnega vstopa posojila v nedeljo, po na PeckShield.

Omni omogoča uporabnikom, da zastavijo svoje NFT-je, običajno iz priljubljenih zbirk, kot je Bored Ape Yacht Club, za prejemanje žetonov, kot je ether (ETH). 

Pri današnjem napadu je heker izkoristil ranljivost ponovnega vstopa v protokolu Omni. Ponovni vstop je znana ranljivost v projektih, kodiranih s Solidityjem, ki prevarantu omogoča, da prisili svojo pametno pogodbo, da izvede zunanji klic nezaupljivi pogodbi. Ta zunanji klic se izvede pred prvotno funkcijo in se tako lahko uporabi za večkratni ponovni vstop v protokol za črpanje njegove likvidnosti.

Yajin Zhou, izvršni direktor podjetja za varnost verige blokov BlockSec, je za The Block pojasnil postopek izkoriščanja in rekel, da je napadalec deponiral NFT-je iz zbirke, imenovane Doodles. Ti NFT so bili uporabljeni kot zavarovanje za izposojo zavitega ETH (WETH).

Napadalec je nato izkoristil ranljivost ponovnega vstopa z umikom vseh NFT-jev, razen enega, deponiranih kot zavarovanje. To dejanje sprožilo zlonamerna funkcija povratnega klica v korist napadalca. Ta funkcija je hekerju omogočila, da je uporabil izposojena sredstva za nakup še več Doodlov, preden je likvidiral posojilno pozicijo.

Ko je položaj likvidiran, se preostali Doodle NFT iz prvotnega zavarovanja vrne nazaj napadalcu. Posojilna pozicija je likvidirana, ker vrednost NFT, ki je bila prvotno puščena kot zavarovanje, preden je bila priklicana funkcija povratnega klica, ni zadostovala za kritje dolžniške pozicije. Tu nastopi ponovni vstop, saj lahko napadalec s pomočjo izposojenega WETH prebije več NFT-jev, preden pride do likvidacije.

Napadalec je nato uporabil Doodle, pridobljene z začetnim posojilom, kot zavarovanje, da si je izposodil več WETH. Omni pa ni prepoznal tega novega dolga, zato je lahko heker umaknil NFT, ne da bi vrnil posojilo.

Napad je iz protokola izčrpal več kot 1,300 WETH (1.4 milijona USD). Omni je dejal, da izkoriščanje ni vplivalo na nobena sredstva strank, saj so bila prizadeta le sredstva za interno testiranje, saj je platforma še vedno v načinu beta testiranja.

Platforma denarnega trga NFT je sporočila, da je začasno ustavila protokol do popolne preiskave. Podatki Etherscana kažejo, da je izkoriščevalec že opral sredstva prek Tornado Cash, storitve mešanja kovancev za zasebne transakcije na Ethereumu.

© 2022 The Block Crypto, Inc. Vse pravice pridržane. Ta članek je na voljo samo v informativne namene. Ni na voljo ali namenjen uporabi kot pravni, davčni, naložbeni, finančni ali drug nasvet.