15. marca napadalec sifoniral več kot 11 milijonov dolarjev od dveh Defi platforme, agave in Sto financ. Zdelo se je, da gre za "napad ponovnega vstopa" na hitro posojilo na oba protokola na Gnozna veriga po preiskavi. Prav tako so platforme ustavile svoje pogodbe, da bi preprečile nadaljnjo škodo.
Ocenjevanje škode
Solidity razvijalec in ustvarjalec an NFT aplikacija za protokol likvidnosti, Šegen odločil, da bo vdiranje izpostavil v seriji tvitov 16. marca. Presenetljivo je, da je ta analiza prišla po tem, ko je prej omenjeni subjekt v istem izkoriščanju izgubil 225,000 dolarjev.
Na tem je že bilo nekaj dobrih tem (in nekaj slabih, ki so spregovorile prehitro). @Agave_lending in @HundredFinance haki danes.
Tukaj je moja analiza in razmišljanje, potem ko sem pravkar izgubil več kot 225 $ zaradi izkoriščanja in raziskal, kaj se je zgodilo?
— Shegen (@shegenerates) Marec 15, 2022
Njene predhodne preiskave so pokazale, da je napad deloval z izkoriščanjem pogodbene funkcije wETH na Gnosis Chain. Napadalcu je omogočilo, da si je še naprej izposojal kriptovalute, preden so aplikacije lahko izračunale dolg, kar bi preprečilo nadaljnje izposojanje. Skratka, krivec je omenjeno izkoriščanje izvajal tako, da se je zadolžil proti enakim zavarovanjem, ki so jih dali, dokler niso odtekla sredstva iz protokolov.
Da bi bilo še huje, sredstva niso bila varna. 'Veliko jih ni več za vedno, a še vedno obstaja upanje,' je dodano. Kljub temu je ustanovitelj Gnosis Martin Koppelmann tvitnil, da bi vnesel nekaj gotovosti sredi kaosa. Koppelmann je trdil,
ne moremo obljubljati, in najprej bi morali resnično razumeti, kaj se je zgodilo. Toda na splošno bi podprl predlog GnosisDAO, ki bi poskušal uporabnikom preprečiti izgubo sredstev z npr. izposojanjem sredstev/vlaganjem sredstev v @Agave_lending
— Martin Köppelmann ?? (@koeppelmann) Marec 15, 2022
Po nadaljnjih raziskavah naj bi napadalec to pogodbo uporabil s 3 funkcijami; V blokih 21120283 in 21120284 je heker uporabil pogodbo za neposredno interakcijo s prizadetim protokolom Agave. Pametna pogodba za Agave je bila v bistvu enaka kot Aave, ki je zagotovil 18.4 milijarde dolarjev.
Ker ni bilo prijavljenih izkoriščanja v AAVE, kako bi lahko izsušili agavo? No, tukaj je a Povzetek o tem, kako je bila uporabljena na nevaren način »nenamerno«.
Pogodba weth je bila razporejena prvič, ko se je nekdo preselil weth v GC. Vsakič, ko prinesete nov žeton čez most, se zanj ustvari nova pogodba o žetonu.
Funkcija callAfterTransfer vam pomaga preprečiti, da bi žetone pošiljali neposredno na most in jih za vedno izgubili pic.twitter.com/ZiAZAcTtSI
— Shegen (@shegenerates) Marec 15, 2022
Omenjeni heker si je lahko izposodil več kot njihovo zavarovanje v agavi. S tem odhod z vsemi izposojenimi sredstvi.
vir: Twitter
Izposojena sredstva so obsegala 2,728.9 WETH, 243,423 USDC, 24,563 LINK, 16.76 WBTC, 8,400 GNO in 347,787 WXDAI. Na splošno je heker odnesel približno 11 milijonov dolarjev.
Kljub temu Shegen razvijalcem Agave ni očital, da niso preprečili napada. Dejala je, da so razvijalci izvajali varno in varno kodo, ki temelji na AAVE. Čeprav Rabljeni z nevarnimi žetoni na nevaren način.
"Vsi protokoli DeFi na GC bi morali zamenjati obstoječe premostite žetone za nove," je zaključila.
Raziskovalec varnosti Blockchain Mudit Gupta ponovila podoben vzrok za izkoriščanje.
Agave in Hundred Finance sta bila danes izkoriščena v verigi Gnosis (prej xDAI).
Osnovni razlog za vdor je v tem, da so uradni premoščeni žetoni na Gnosis nestandardni in imajo kavelj, ki pri vsakem prenosu pokliče prejemnika žetona, kar omogoča napade s ponovnim vstopom. pic.twitter.com/8MU8Pi9RQT
- Mudit Gupta (@Mudit__Gupta) Marec 15, 2022
Vir: https://ambcrypto.com/how-these-two-defi-protocols-fell-prey-to-11-million-reentrancy-attack/