Protokół Orion wykorzystany przez hakera do kradzieży około 3 milionów dolarów

• Haker ukradł ponad 1,700 Ethereum, czyli ponad 3 miliony dolarów.
• W tym przypadku haker manipulował pulami Oriona, tworząc nowy token o nazwie ATK.

W czwartek kontrakt podstawowy z Protokół Oriona, agregator płynności dla giełd CeFi i DeFi, został naruszony zarówno we wdrożeniach Ethereum, jak i Binance Smart Chains (BSC). Haker ukradł ponad 1,700 Ethereum, czyli ponad 3 miliony dolarów.

W czwartek naruszenie było wykonalne z powodu niewystarczającej ochrony przed ponownym wejściem, jak opisał firma zajmująca się bezpieczeństwem blockchain Tarcza Pecka na Twitterze. W przypadku problemu z ponownym wejściem osoba atakująca może wielokrotnie pobierać pieniądze z inteligentnego kontraktu bez uiszczania jakichkolwiek opłat.

Według PeckShield, użycie metody swapThroughOrionPool pozwala każdemu, kto ma specjalnie zaprojektowane tokeny, ponownie wejść do funkcji aktywów depozytowych i ukraść tokeny. Zwiększenie salda konta w ten sposób nie wymaga żadnych nakładów pieniężnych.

Funkcja depozytu wstrzymana 

W tym przypadku haker manipulował pulami Oriona, tworząc nowy token o nazwie ATK i samoniszczący się inteligentny kontrakt. Prezes firmy Orion Aleksiej Kołoskow opublikował wątek szczegółowo opisujący lukę wkrótce po jej wykryciu.

Nawet jeśli wykorzystany kontrakt został wykorzystany przez jednego z eksperymentalnych brokerów firmy, Koloskov podkreślił, że ma to niewielkie znaczenie publiczne. Zapewnił tłum, że ich pieniądze są całkowicie bezpieczne. Jednak funkcja depozytu Oriona została wyłączona i nie zostanie ponownie otwarta, dopóki problem nie zostanie naprawiony i nie zostaną przeprowadzone odpowiednie audyty.

Kwota pieniędzy skradzionych przez DeFi liczba naruszeń wzrosła w 2022 r., skradziono 3.8 miliarda dolarów, z czego 1.7 miliarda dolarów dotyczyło kryptowalut i zostało popełnione przez hakerów z Korei Północnej. Powszechnie uważa się, że naruszenie mostu Harmony o wartości 100 milionów dolarów w czerwcu zostało dokonane przez północnokoreańską grupę Lazarus, która ukradła dużą część skradzionych funduszy.

Polecany dla Ciebie:

Haker wykorzystuje protokół BonqDAO o wartości ponad 120 milionów dolarów