На 15 март, напаѓач исушени над 11 милиони долари од два на определен обем, платформи, агава Сто финансии. Се чинеше дека тоа е „напад за повторно влегување“ на блиц заем на двата протоколи на Синџир на Гноза според истрагата. Исто така, платформите ги прекинаа своите договори за да спречат понатамошна штета.
Проценка на штетата
Solidity развивач и креатор на ан NFT Апликација за протокол за ликвидност, Шеген избра да го нагласи хакирањето во серија твитови на 16 март. Изненадувачки, оваа анализа дојде откако претходно споменатиот ентитет изгуби 225,000 долари во истиот експлоат.
Веќе имаше неколку добри нишки (и некои лоши кои зборуваа прерано) на @Agave_lending @HundredFinance хакира денес.
Еве ја мојата анализа и размислување, откако штотуку изгубив над 225 илјади долари од експлоатацијата и истражив што се случи?
— Шеген (@shegenerates) Март 15, 2022
Нејзините прелиминарни истраги открија дека нападот функционирал со искористување на функцијата на договорот за wETH на Gnosis Chain. Тоа му овозможи на напаѓачот да продолжи да позајмува крипто пред апликациите да го пресметаат долгот, што би го спречило понатамошното задолжување. Ерго, виновникот го извршил споменатиот подвиг со задолжување со истиот колатерал што тие го пласирале додека не се исцрпат средствата од протоколите.
За да бидат работите уште полоши, средствата не беа безбедни. „Тие ги нема засекогаш, но сè уште има надеж“, таа додадени. Како што рече, основачот на Гносис, Мартин Копелман твитна за да донесе одредена сигурност во хаосот. Копелман тврди,
не може да даде никакви ветувања, и прво треба навистина да разбереме што се случило. Но, генерално би го поддржал предлогот на GnosisDAO кој би се обидел да ги спречи корисниците да губат средства со на пр. позајмување средства/инвестирање средства во @Agave_lending
— Мартин Кепелман ?? (@koeppelmann) Март 15, 2022
По некое дополнително истражување, напаѓачот наводно го распоредил овој договор со 3 функции; Во блоковите 21120283 и 21120284, хакерот го користел договорот за да комуницира директно со засегнатиот протокол, Агаве. Паметниот договор за Агаве во суштина беше ист како Ааве, кој обезбеди 18.4 милијарди долари.
Бидејќи немало пријавено експлоатирање во ААВЕ, како можеше да се исцеди Агаве? Па, еве а резиме за тоа како „ненамерно“ се користел на небезбеден начин.
Weth договорот беше распореден првиот пат кога некој се пресели во GC. Секој пат кога ќе донесете нов токен преку мостот, се креира нов токен договор за него.
Функцијата callAfterTransfer помага да се спречи да испраќате токени директно до мостот и да ги изгубите засекогаш pic.twitter.com/ZiAZACTtSI
— Шеген (@shegenerates) Март 15, 2022
Споменатиот хакер можеше да позајми повеќе од нивниот колатерал во агава. Притоа, заминување со сите позајмени средства.
извор: Twitter
Позајмените средства се состојат од 2,728.9 WETH, 243,423 USDC, 24,563 LINK, 16.76 WBTC, 8,400 GNO и 347,787 WXDAI. Севкупно, хакерот се извлече со околу 11 милиони долари.
Сепак, Шеген не ги обвини програмерите на Агаве за неуспехот да го спречат нападот. Таа рече дека програмерите користеле безбеден и безбеден код базиран на AAVE. Иако користат со небезбедни токени, на небезбеден начин.
„Сите протоколи DeFi на GC треба да ги заменат постоечките премостени токени со нови“, заклучи таа.
Истражувач за безбедност на блокчејн Мудит Гупта повтори слична причина зад експлоатацијата.
Agave и Hundred Finance беа експлоатирани денес на ланецот Gnosis (поранешен xDAI).
Основната причина за хакирањето е тоа што официјалните премостени токени на Gnosis се нестандардни и имаат кука што го повикува примачот на токени при секој трансфер. Ова овозможува напади за повторно влегување. pic.twitter.com/8MU8Pi9RQT
- Мудит Гупта (@Mudit__Gupta) Март 15, 2022
Извор: https://ambcrypto.com/how-these-two-defi-protocols-fell-prey-to-11-million-reentrancy-attack/