15 marca napastnik wyssany ponad 11 milionów dolarów z dwóch DeFi platformy, Agawa i Sto finansów. Wyglądało na to, że był to „atak ponownego wejścia” w postaci pożyczki błyskawicznej na oba protokoły w sieci Łańcuch gnozy zgodnie z dochodzeniem. Podobnie platformy wstrzymały swoje kontrakty, aby zapobiec dalszym szkodom.
Ocena szkód
Programista Solidity i twórca m.in NFT aplikacja protokołu płynności, Shegena zdecydował się podkreślić hack w serii tweetów z 16 marca. Co zaskakujące, analiza ta została przeprowadzona po tym, jak wspomniany podmiot stracił 225,000 XNUMX dolarów w wyniku tego samego exploita.
Było już kilka dobrych wątków (i kilka złych, które wypowiedziały się zbyt wcześnie) na temat @Agave_lending i @HundredFinanse hacki dzisiaj.
Oto moja analiza i refleksja po tym, jak właśnie straciłem ponad 225 XNUMX $ na exploit i zbadałem, co się stało?
— Shegen (@shegenerates) 15 marca 2022 r.
Jej wstępne dochodzenie ujawniło, że atak polegał na wykorzystaniu funkcji kontraktu wETH w łańcuchu Gnosis. Pozwoliło to atakującemu na dalsze pożyczanie kryptowalut, zanim aplikacje mogły obliczyć dług, co uniemożliwiłoby dalsze pożyczanie. Zatem sprawca dokonał wspomnianego exploita, zaciągając pożyczki pod tym samym zabezpieczeniem, które złożył, do czasu wyczerpania środków z protokołów.
Co gorsza, fundusze nie były bezpieczne. „Odeszli właściwie na zawsze, ale wciąż jest nadzieja” – mówi w dodatku. To powiedziawszy, założyciel Gnozy, Martin Koppelmann, zamieścił tweeta, aby dodać pewności w chaosie. Koppelmann stwierdził,
Nie mogę nic obiecać, ale najpierw powinniśmy naprawdę zrozumieć, co się stało. Ogólnie jednak popierałbym propozycję GnosisDAO, która próbowałaby uniemożliwić użytkownikom utratę środków poprzez np. pożyczanie środków/inwestowanie środków w @Agave_lending
— Martin Köppelmann? (@koeppelmann) 15 marca 2022 r.
Po dalszych badaniach osoba atakująca rzekomo wdrożyła ten kontrakt z 3 funkcjami; W blokach 21120283 i 21120284 haker wykorzystał umowę do bezpośredniej interakcji z protokołem Agave, którego dotyczy problem. Inteligentny kontrakt na Agave był zasadniczo taki sam jak Aave, który zabezpieczył 18.4 miliarda dolarów.
Ponieważ nie zgłoszono żadnego exploita w DUCH, jak można odsączyć agawę? Cóż, oto streszczenie tego, jak był on używany w niebezpieczny sposób „nieumyślnie”.
Kontrakt wet został wdrożony, gdy ktoś po raz pierwszy przeniósł się do GC. Za każdym razem, gdy przenosisz nowy token przez most, tworzony jest dla niego nowy kontrakt na token.
Funkcja callAfterTransfer pomaga zapobiec wysyłaniu tokenów bezpośrednio do mostu i utracie ich na zawsze pic.twitter.com/ZiAZAcTtSI
— Shegen (@shegenerates) 15 marca 2022 r.
Wspomniany haker był w stanie pożyczyć więcej niż wynosiło jego zabezpieczenie w postaci agawy. Tym samym odchodząc ze wszystkimi pożyczanymi aktywami.
Źródło: Twitter
Pożyczone aktywa obejmowały 2,728.9 243,423 WETH, 24,563 16.76 USDC, 8,400 347,787 LINK, 11 WBTC, XNUMX XNUMX GNO i XNUMX XNUMX WXDAI. W sumie haker zgarnął około XNUMX milionów dolarów.
Niemniej jednak Shegen nie obwiniał twórców Agave za to, że nie zapobiegli atakowi. Powiedziała, że programiści uruchomili bezpieczny kod oparty na AAVE. Chociaż używany z niebezpiecznymi tokenami, w niebezpieczny sposób.
„Wszystkie protokoły DeFi w GC powinny wymienić istniejące tokeny mostkowe na nowe” – podsumowała.
Badacz bezpieczeństwa Blockchain Mudit Gupta powtórzył podobna przyczyna exploita.
Agave i Hundred Finance zostały dziś wykorzystane w łańcuchu Gnosis (dawniej xDAI).
Podstawowym powodem włamania jest to, że oficjalne tokeny zmostkowane w Gnosis są niestandardowe i mają hak, który wywołuje odbiorcę tokena przy każdym transferze. Umożliwia to ataki typu reentranty. pic.twitter.com/8MU8Pi9RQT
- Mudit Gupta (@Mudit__Gupta) 15 marca 2022 r.
Źródło: https://ambcrypto.com/how-these-two-defi-protocols-fell-prey-to-11-million-reentrancy-attack/