در 15 مارس، یک مهاجم سیفون شده بیش از 11 میلیون دلار از دو DEFI بستر، زمینه، آگاو و صد مالی. به نظر می‌رسد که این یک «حمله ورود مجدد» وام فلش به هر دو پروتکل روی آن باشد زنجیره گنوسیس طبق تحقیقات به همین ترتیب، سکوها قراردادهای خود را برای جلوگیری از آسیب بیشتر متوقف کردند.
ارزیابی خسارت
توسعه دهنده Solidity و خالق یک NFT برنامه پروتکل نقدینگی، شگن تصمیم گرفت هک را در یک سری توییت در 16 مارس برجسته کند. با کمال تعجب، این تحلیل پس از از دست دادن 225,000 دلار در همان اکسپلویت توسط نهاد مذکور انجام شد.
قبلاً چند تاپیک خوب (و برخی بد که خیلی زود صحبت کردند) روی آن وجود داشته است Agave_lending و @HundredFinance هک امروز
در اینجا تجزیه و تحلیل و بازتاب من است، پس از اینکه بیش از 225 هزار دلار از سوء استفاده از دست دادم، و بررسی کردم که چه اتفاقی افتاده است؟
— شگن (@shegenerates) مارس 15، 2022
تحقیقات اولیه او نشان داد که این حمله با بهره‌برداری از تابع قرارداد wETH در زنجیره Gnosis انجام شده است. این به مهاجم اجازه می‌دهد تا قبل از اینکه اپلیکیشن‌ها بتوانند بدهی خود را محاسبه کنند، به قرض گرفتن کریپتو ادامه دهد، که از استقراض بیشتر جلوگیری می‌کند. بنابراین، مجرم سوء استفاده مذکور را با استقراض در برابر همان وثیقه‌ای که پست کرده بودند انجام داد تا زمانی که وجوه از پروتکل‌ها تخلیه شد.
بدتر از همه، وجوه امن نبود. او گفت: "آنها تقریبا برای همیشه رفته اند، اما هنوز امیدی وجود دارد." اضافه. گفته می شود، مارتین کوپلمن، بنیانگذار Gnosis، توییت کرد تا در میان هرج و مرج، اطمینان حاصل کند. کوپلمن اظهار داشت،
نمی توان هیچ قولی داد، و ابتدا باید واقعاً بفهمیم چه اتفاقی افتاده است. اما من به طور کلی از یک پیشنهاد GnosisDAO حمایت می کنم که سعی می کند از طریق استقراض وجوه / سرمایه گذاری وجوه در آنها از دست دادن وجوه کاربران جلوگیری کند. Agave_lending
- مارتین کوپلمن ?? (@koeppelmann) مارس 15، 2022
پس از تحقیقات بیشتر، مهاجم ظاهراً این قرارداد را با 3 عملکرد مستقر کرده است. در بلوک‌های 21120283 و 21120284، هکر از قرارداد برای تعامل مستقیم با پروتکل آسیب‌دیده Agave استفاده کرد. قرارداد هوشمند Agave اساساً مشابه Aave بود که 18.4 میلیارد دلار تضمین کرد.
از آنجایی که هیچ اکسپلویتی در آن گزارش نشده است روح، چگونه می توان آگاو را تخلیه کرد؟ خوب، اینجا یک خلاصه نحوه استفاده از آن به روشی ناامن "ناخواسته".
قرارداد weth اولین باری است که کسی به GC نقل مکان کرد. هر بار که یک توکن جدید بر روی پل می آورید، یک قرارداد توکن جدید برای آن ایجاد می شود.
تابع callAfterTransfer به شما کمک می کند تا توکن ها را مستقیماً به پل ارسال نکنید و آنها را برای همیشه از دست بدهید. pic.twitter.com/ZiAZacTtSI
— شگن (@shegenerates) مارس 15، 2022
هکر مذکور توانست بیش از وثیقه خود را در آگاو وام بگیرد. بدین ترتیب، با تمام دارایی های قابل استقراض کنار می رود.
منبع: توییتر
دارایی های قرض گرفته شده شامل 2,728.9 WETH، 243,423 USDC، 24,563 LINK، 16.76 WBTC، 8,400 GNO و 347,787 WXDAI است. در مجموع، هکر با حدود 11 میلیون دلار درآمد کسب کرد.
با این وجود، Shegen توسعه دهندگان Agave را به خاطر شکست در جلوگیری از حمله سرزنش نکرد. او گفت، توسعه دهندگان یک کد امن و ایمن مبتنی بر AAVE را اجرا کردند. با اينكه استفاده با نشانه های ناامن، به روشی ناامن.
او نتیجه گرفت: «همه پروتکل‌های DeFi در GC باید توکن‌های پل‌شده موجود را با توکن‌های جدید جایگزین کنند».
محقق امنیت بلاک چین مودیت گوپتا تصریح کرد یک دلیل مشابه پشت این سوء استفاده است.
Agave و Hundred Finance امروز در زنجیره Gnosis (قبلا xDAI) مورد سوء استفاده قرار گرفتند.
دلیل اصلی هک این است که توکن‌های رسمی پل‌شده در Gnosis غیراستاندارد هستند و دارای قلابی هستند که در هر انتقال، گیرنده رمز را فراخوانی می‌کند. این امکان حملات بازگشت مجدد را فراهم می کند. pic.twitter.com/8MU8Pi9RQT
- Mudit Gupta (Mudit__Gupta) مارس 15، 2022
منبع: https://ambcrypto.com/how-these-two-defi-protocols-fell-prey-to-11-million-reentrancy-attack/