Si këto dy protokolle DeFi ranë pre e 'sulmit të rihyrjes' 11 milion dollarë

Më 15 mars, një sulmues të sifonuara mbi 11 milionë dollarë nga dy Defi platformat, agave Njëqind financa. Dukej të ishte një 'sulm i rihyrjes' i huasë së shpejtë në të dy protokollet në Zinxhiri i Gnosis sipas hetimit. Po kështu, platformat ndërprenë kontratat e tyre për të parandaluar dëmtimin e mëtejshëm.

Vlerësimi i dëmit 

Zhvilluesi i Solidity dhe krijuesi i një NFT aplikacioni i protokollit të likuiditetit, Shegen zgjodhi të nënvizonte hakimin në një seri postimesh në Twitter më 16 mars. Çuditërisht, kjo analizë erdhi pasi entiteti i lartpërmendur humbi 225,000 dollarë në të njëjtin shfrytëzim.

Tashmë ka pasur disa tema të mira (dhe disa të këqija që folën shumë shpejt) në të @Agave_lending @HundredFinance hakimet sot.

Këtu është analiza dhe reflektimi im, pasi kam humbur mbi 225 mijë dollarë nga shfrytëzimi dhe kam eksploruar se çfarë ndodhi?

— Shegen (@shegenerates) March 15, 2022

Hetimet e saj paraprake zbuluan se sulmi funksionoi duke shfrytëzuar një funksion të kontratës wETH në Gnosis Chain. Ai i lejoi sulmuesit të vazhdonte të huazonte kripto para se aplikacionet të mund të llogaritnin borxhin, gjë që do të parandalonte huamarrjen e mëtejshme. Kështu, fajtori e ka kryer shfrytëzimin e përmendur duke marrë hua kundrejt të njëjtit kolateral që ata kanë vendosur derisa fondet janë shteruar nga protokollet.

Për t'i bërë gjërat më keq, fondet nuk ishin të sigurta. "Ata janë zhdukur pothuajse përgjithmonë, por ka ende shpresë," ajo shtuar. Thënë kështu, themeluesi i Gnosis, Martin Koppelmann bëri një postim në Twitter për të sjellë njëfarë sigurie mes kaosit. Koppelmann pohoi,

nuk mund të bëjë asnjë premtim, dhe së pari duhet të kuptojmë vërtet se çfarë ndodhi. Por në përgjithësi do të isha mbështetës i një propozimi të GnosisDAO që do të përpiqej të parandalonte përdoruesit nga humbja e fondeve duke marrë hua / investuar fonde në @Agave_lending

- Martin Köppelmann ?? (@koeppelmann) March 15, 2022

Pas disa kërkimeve të mëtejshme, sulmuesi dyshohet se e vendosi këtë kontratë me 3 funksione; Në blloqet 21120283 dhe 21120284, hakeri përdori kontratën për të ndërvepruar drejtpërdrejt me protokollin e prekur, Agave. Kontrata inteligjente në Agave ishte në thelb e njëjtë me Aave, e cila siguroi 18.4 miliardë dollarë.

Pasi nuk u raportua asnjë shfrytëzim në FANTËZIM, si mund të kullohej Agave? Epo, këtu është një përmbledhje se si është përdorur në mënyrë të pasigurt “pa dashje”.

Kontrata weth u vendos herën e parë që dikush u zhvendos në GC. Sa herë që sillni një shenjë të re mbi urë, krijohet një kontratë e re simbolike për të.

Funksioni callAfterTransfer ju ndihmon të parandaloni dërgimin e argumenteve direkt në urë dhe humbjen e tyre përgjithmonë pic.twitter.com/ZiAZacTtSI

— Shegen (@shegenerates) March 15, 2022

Hakeri në fjalë ishte në gjendje të merrte hua më shumë se kolaterali i tyre në agave. Kështu, duke u larguar me të gjitha asetet e huazueshme.

Burimi: Twitter

Asetet e huazuara përbëheshin nga 2,728.9 WETH, 243,423 USDC, 24,563 LINK, 16.76 WBTC, 8,400 GNO dhe 347,787 WXDAI. Në përgjithësi, hakeri arriti me rreth 11 milionë dollarë.

Megjithatë, Shegen nuk fajësoi zhvilluesit Agave për dështimin për të parandaluar sulmin. Ajo tha se zhvilluesit përdorën një kod të sigurt dhe të sigurt të bazuar në AAVE. Edhe pse përdorur me argumente të pasigurta, në mënyrë të pasigurt.

“Të gjitha protokollet DeFi në GC duhet të shkëmbejnë argumentet ekzistuese të urëzuara me të reja,” përfundoi ajo.

Studiues i sigurisë së Blockchain Mudit Gupta përsëriti një shkak i ngjashëm pas shfrytëzimit.

Agave dhe Hundred Finance u shfrytëzuan sot në zinxhirin Gnosis (dikur xDAI).

Arsyeja themelore për hakimin është se kodet zyrtare të urëzuara në Gnosis janë jo standarde dhe kanë një grep që thërret marrësin e tokenit në çdo transferim. Kjo mundëson sulme të rihyrjes. pic.twitter.com/8MU8Pi9RQT

- Mudit Gupta (@Mudit__Gupta) March 15, 2022