Ang Dex Aggregator Dexible ay pinagsamantalahan ng $2 Milyon sa Kamakailang Pag-hack

• Ang isang popup na babala tungkol sa pag-atake ay ipinakita sa front end ng Dexible.
• Ang isa sa mga tagapagtatag ay may 50,000 USD na halaga ng cryptocurrency na misteryosong tinanggal.

Ayon sa post-mortem report na inilathala ng Dexible team sa opisyal na channel ng Discord ng proyekto noong Pebrero 17. Ang multichain exchange aggregator ay nilabag, na nagresulta sa pagkawala ng $2 milyon na halaga ng cryptocurrencies. Mula 6:35 pm UTC noong Pebrero 17, isang popup na babala tungkol sa pag-atake ay ipinakita sa front end ng Dexible.

Inanunsyo nila ang kanilang pagtuklas ng posibleng pag-hack sa mga kontrata ng Dexible v2 noong 6:17 am UTC. At sinabing tinitingnan nila ito. Matapos maghintay ng humigit-kumulang siyam na oras, naglabas ito ng pangalawang pahayag na nagsasabing, “$2,047,635.17 ay pinagsamantalahan mula sa 17 address ng negosyante. 4 sa mainnet, 13 sa arbitrasyon.” Higit pa rito, bandang 4:00 UTC, isang PDF file na nagdedetalye ng insidente ay na-upload sa Discord. At sinabi ng team na kasalukuyan silang gumagawa ng isang diskarte sa remediation.

SelfSwap Function Exploit

Bukod dito, ayon sa ulat, alam ng mga tripulante na may mali. Nang ang isa sa mga founder ay may 50,000 USD na halaga ng cryptocurrency na misteryosong inalis sa kanyang wallet. Natuklasan ng mga mananaliksik na ang isang attacker ay naglipat ng mahigit $2 milyon na halaga ng cryptocurrency mula sa mga user na nagbigay-daan sa app na ilipat ang kanilang mga token gamit ang tampok na selfSwap.

Higit pa rito, ang mga token ay maaaring palitan sa paggamit ng selfSwap function sa pamamagitan ng paglalagay ng gustong token at address ng router o data ng tawag. Sa kabaligtaran, ang code ay hindi nagbigay ng isang listahan ng mga napatunayang router.

Pagkatapos ay sinamantala ng attacker ang kakayahang ito upang magpadala ng transaksyon mula sa Dexible sa bawat kontrata ng token, na naglilipat ng mga token mula sa mga wallet ng user patungo sa sariling smart contract ng attacker. Hindi napigilan ng mga kontrata ng token ang mga bawal na transaksyong ito dahil nagmula ang mga ito sa Dexible, na inaprubahan na ng mga customer para sa paggastos ng token.

Inirerekomenda Para sa Iyo:

Ang DeFi Protocol dForce ay pinagsamantalahan ng $3.65 Milyon ng Hacker