Dwa Avalanche (AVAX) DeFis zhakowane w jeden dzień

Dzisiaj, 17 lutego 2023 r., złoczyńcy zaatakowali dwa protokoły zdecentralizowanych finansów (DeFi) na blockchainie Avalanche (AVAX). Wygląda na to, że badaczom on-chain udało się znaleźć co najmniej jednego hakera.

Jeden dzień, dwa ataki

Około godziny 11:05 czasu UTC firma PeckShield, zajmująca się bezpieczeństwem kryptowalut, opublikowała ostrzeżenie o możliwym włamaniu do DeFi. Dexible, multi-blockchain algorytmiczny protokół handlowy DeFi, który ma wersje na Ethereum (ETH), Avalanche (AVAX), Poly Network (POLY), BNB Chain (BSC) i tak dalej, stracił ponad 1.5 miliona dolarów z powodu luki w bazie kodu.

Hi @DexibleApp, może być konieczne poproszenie użytkowników o cofnięcie dodatku! (Strata wynosi już > 1.5 mln USD). Oto jeden hack tx: https://t.co/A076AeXsPz pic.twitter.com/HRQ8MBTSGm

- PeckShield Inc. (@peckshield) 17 lutego 2023 r.

Luka została znaleziona w kontrakcie dotyczącym routera wymiany. Atakujący natychmiast zaczął prać fundusze za pośrednictwem miksera Tornado Cash (TORN). Według pierwszej sekcji zwłok opublikowanej kilka minut temu, rzeczywista wielkość strat nie została jeszcze obliczona:

Umożliwiło to hakerowi kradzież środków z dowolnego portfela, który miał zgodę na niewydane wydatki w ramach umowy.

W tej chwili zespół pracuje nad planem naprawczym. Wszystkie kontrakty są wstrzymane. Wczoraj zespół zaprosił wszystkich użytkowników do migracji do nowej wersji smart kontraktu.

Również Platypus, zdecentralizowany protokół stablecoin oparty na Avalanche, ucierpiał w wyniku ataku o wartości 8.5 miliona dolarów. Złoczyńcom udało się zorganizować szybki atak pożyczki; stablecoin USP projektu spadł poniżej 0.5 USD. We współpracy z Tether Limited zespołowi udało się zamrozić środki na koncie USDT atakującego.

ZachXBT przybywa na ratunek: napastnik Dziobaka może zostać znaleziony

W tej chwili zespół prowadzi rozmowy z Binance i Circle, aby zablokować resztę łupów atakujących.

Doświadczony badacz kryptowalut ZachXBT pomaga zespołowi DeFi w odzyskaniu środków. Twierdził, że odkrył konto napastnika na Twitterze. Atakujący może używać domeny retlqw.eth ENS.

Hi @retlqw ponieważ dezaktywowałeś swoje konto po tym, jak wysłałem Ci wiadomość.

Prześledziłem adresy prowadzące do twojego konta z @Dziobakdefi exploit i jestem w kontakcie z ich zespołem i giełdami.

Chcielibyśmy wynegocjować zwrot środków, zanim skontaktujemy się z organami ścigania. pic.twitter.com/oJdAc9IIkD

— ZachXBT (@zachxbt) 17 lutego 2023 r.

Po tym oświadczeniu retlqw.eth dezaktywował swoje konta na Twitterze i Instagramie. Jednak ZachXBT zdołał zaoferować mu nagrodę za błąd w imieniu zespołu Platypus.