Noong 15 Marso, isang umaatake sumubo mahigit $11 milyon mula sa dalawa DeFi mga platform, agave at Daang Pananalapi. Lumilitaw na ito ay isang flash loan na 'reentrancy attack' sa parehong mga protocol sa Gnosis chain ayon sa pagsisiyasat. Gayundin, itinigil ng mga platform ang kanilang mga kontrata upang maiwasan ang karagdagang pinsala.
Pagtatasa ng pinsala
Solidity developer at creator ng isang NFT app ng liquidity protocol, Shegen piniling i-highlight ang hack sa isang serye ng mga tweet noong 16 Marso. Nakapagtataka, ang pagsusuring ito ay dumating pagkatapos na mawalan ng $225,000 ang nabanggit na entity sa parehong pagsasamantala.
Nagkaroon na ng ilang magagandang mga thread na (at ilang masamang mga thread na masyadong maagang nagsalita) sa @Agave_lending at @HundredFinance hacks ngayon.
Narito ang aking pagsusuri at pagmumuni-muni, pagkatapos na mawalan ng mahigit $225k mula sa pagsasamantala, at ginalugad kung ano ang nangyari ?
— Shegen (@shegenerates) Marso 15, 2022
Ang kanyang mga paunang pagsisiyasat ay nagsiwalat na ang pag-atake ay nagtrabaho sa pamamagitan ng pagsasamantala sa isang function ng kontrata ng wETH sa Gnosis Chain. Pinahintulutan nito ang umaatake na magpatuloy sa paghiram ng crypto bago makalkula ng mga app ang utang, na mapipigilan ang karagdagang paghiram. Dahil dito, dinala ng salarin ang nasabing pagsasamantala sa pamamagitan ng paghiram laban sa parehong collateral na kanilang inilagay hanggang sa maubos ang pondo mula sa mga protocol.
Para lumala pa, hindi ligtas ang mga pondo. 'Medyo wala na sila magpakailanman, ngunit may pag-asa pa rin,' siya idinagdag. Iyon ay sinabi, ang tagapagtatag ng Gnosis, si Martin Koppelmann ay nag-tweet upang magdala ng ilang katiyakan sa gitna ng kaguluhan. Iginiit ni Koppelmann,
can't make any promises, at dapat talaga maintindihan muna natin ang nangyari. Ngunit sa pangkalahatan ay susuportahan ko ang isang panukala ng GnosisDAO na susubukan na pigilan ang mga user na mawalan ng mga pondo sa pamamagitan ng hal. paghiram ng mga pondo/pag-iinvest ng mga pondo @Agave_lending
— Martin Köppelmann ?? (@koeppelmann) Marso 15, 2022
Pagkatapos ng ilang karagdagang pagsasaliksik, inilagay umano ng attacker ang kontratang ito na may 3 function; Sa mga bloke 21120283 at 21120284, ginamit ng hacker ang kontrata para makipag-ugnayan sa apektadong protocol, nang direkta kay Agave. Ang matalinong kontrata sa Agave ay mahalagang kapareho ng Aave, na nakakuha ng $18.4B.
Dahil walang naiulat na pagsasamantala sa multo, paano ma-drain si Agave? Well, narito ang isang buod kung paano ito ginamit sa hindi ligtas na paraan "hindi sinasadya".
Na-deploy ang weth contract sa unang pagkakataong may lumipat kay weth sa GC. Sa tuwing magdadala ka ng bagong token sa ibabaw ng tulay, isang bagong kontrata ng token ang nilikha para dito.
Tumutulong ang callAfterTransfer function na pigilan ka sa pagpapadala ng mga token nang direkta sa tulay at mawala ang mga ito nang tuluyan pic.twitter.com/ZiAZAcTtSI
— Shegen (@shegenerates) Marso 15, 2022
Ang nasabing hacker ay nakapaghiram ng higit pa sa kanilang collateral sa agave. Sa gayon, lumalayo kasama ang lahat ng maaaring hiramin na mga ari-arian.
Source: kaba
Ang mga hiniram na asset ay binubuo ng 2,728.9 WETH, 243,423 USDC, 24,563 LINK, 16.76 WBTC, 8,400 GNO, at 347,787 WXDAI. Sa pangkalahatan, ang hacker ay nakakuha ng humigit-kumulang $11 milyon.
Gayunpaman, hindi sinisi ni Shegen ang mga developer ng Agave sa hindi pag-iwas sa pag-atake. Sinabi niya, ang mga developer ay nagpatakbo ng isang secure at ligtas na code na nakabatay sa AAVE. Bagaman ginamit na may hindi ligtas na mga token, sa hindi ligtas na paraan.
"Ang lahat ng DeFi protocol sa GC ay dapat magpalit ng mga umiiral na bridged token para sa mga bago," pagtatapos niya.
Blockchain security researcher Mudit Gupta reiterated isang katulad na dahilan sa likod ng pagsasamantala.
Ang Agave at Hundred Finance ay pinagsamantalahan ngayon sa Gnosis chain (dating xDAI).
Ang pinagbabatayan na dahilan ng pag-hack ay ang mga opisyal na naka-bridge na token sa Gnosis ay hindi karaniwan at may hook na tumatawag sa tatanggap ng token sa bawat paglilipat. Nagbibigay-daan ito sa mga pag-atake ng muling pagpasok. pic.twitter.com/8MU8Pi9RQT
- Mudit Gupta (@Mudit__Gupta) Marso 15, 2022
Pinagmulan: https://ambcrypto.com/how-these-two-defi-protocols-fell-prey-to-11-million-reentrancy-attack/