Hack Euler Finance: wszystko, co musisz wiedzieć

• Eksploatator Ronin Bridge otrzymał 100 Ethereum (ETH) o wartości 170,468 XNUMX USD od eksploatatora Euler Financial.
• Tornado Cash, dobrze znany mechanizm mieszania, został wykorzystany przez atakującego w Euler Finance w celu zamaskowania jego działań.

Zanim został zaatakowany za 196 milionów dolarów, Euler Finance, system pożyczkowy oparty na Ethereum, został oceniony jako „nic więcej niż niskie ryzyko” w dziesięciu niezależnych audytach przeprowadzonych w ciągu dwóch lat.

Po ataku Eulera na 196 milionów dolarów błyskawicznej pożyczki 13 marca, dyrektor generalny Euler Labs, Michael Bentley, napisał w serii tweetów z 17 marca o „najcięższych dniach” swojego życia.

Retweetował użytkownik, który podzielił się informacjami o tym, że Euler otrzymał 10 audytów z sześciu różnych firm, mówiąc, że platforma „zawsze była inicjatywą zorientowaną na bezpieczeństwo” i dodając, że przesłał dalej tę osobę.

Inteligentna umowa Euler Financial została poddana audytowi przez firmy zajmujące się bezpieczeństwem blockchain Halborn, Solidified, ZK Labs, Certora, Sherlock i Omnisica w okresie od maja 2021 r. do września 2022 r.

Ponadto, 17 marca, eksploatator Ronin Bridge otrzymał 100 Ethereum (ETH) od eksploatatora Euler Financial, o wartości 170,468 XNUMX USD. lookonchain, pytany czy przeniesienie było niezamierzone, czy też wykazało, że dwaj hakerzy to ta sama osoba.

Wpływ, jaki wywiera

Obliczając „prawdopodobieństwo incydentu związanego z bezpieczeństwem” i jego potencjalny wpływ, Halborn ocenił swoją ocenę ryzyka, przy czym poziom ryzyka waha się od bardzo niskiego i informacyjnego do krytycznego. Eulerowi dano „nic wyższego niż niskie ryzyko”.

W podsumowaniu audytu Halborna z grudnia 2022 r. stwierdzono, że dał on „ogólnie zadowalający wynik”.

Według raportu Halborn „zbadał i przestudiował” 23 inteligentne kontrakty w ciągu miesiąca, ale znaleziono tylko „dwa zagrożenia o niskim ryzyku i trzy zagrożenia informacyjne”.

Po przejrzeniu ubezpieczenia Halborna Euler twierdził, że doszedł do wniosku, że ryzyko „nie stanowi poważnego zagrożenia”.

Krążyły pogłoski, że osławiona północnokoreańska grupa hakerska Lazarus, która była powiązana z atakiem Ronin Bridge, jest również odpowiedzialna za exploit Euler Financial.

Transakcja nie dostarcza jednak konkretnych dowodów na związek między stronami. Atakujący z Euler Finance próbował ukryć swoje transakcje za pomocą Tornado Cash, znanego mechanizmu mieszania. Ponadto atakujący wysłał jednej z ofiar exploita 100 ETH.

Co jest następne?

Zaledwie 24 godziny przed wyznaczeniem nagrody Euler ostrzegł, że jeśli 90% funduszy nie zostanie zwrócone w tym czasie, uruchomi nagrodę „która doprowadzi do twojego aresztowania i zwrotu wszystkich funduszy”.

Oprócz tego firma Omnisica zajmująca się bezpieczeństwem blockchain naprawiła różne „niepoprawne koncepcje” i sposób, w jaki tryb wymiany był „zarządzany przez bazę kodu” w głównej implementacji swappera Eulera.

W badaniu stwierdzono, że Euler „w pełni poradził sobie” z tymi problemami i że w tym momencie nie było „żadnych wyjątkowych trudności”.