Mộthacker đã kiếm được với khoảng 11 triệu đô la trong Wrapped ETH, Wrapped BTC, Chainlink, USDC, Gnosis và Wrapped XDAI sau khi sử dụng một “tái- entrancy” tấn công vào các ứng dụng giao thức cho vay DeFi Agave và Hundred Finance.
Cuộctấn công đến trong vòng 24 giờ kể từ khi phá vỡ tin tức về việc khai thác Deus Finance, nơi tin tặc đã đánh cắp hơn 3 triệu đô la tại Dai và Ethereum từ nền tảng hợp đồng cho vay.
Mãthông báo của Agave, AGVE, giảm 20% sau cuộc tấn công, theo dữ liệu từ CoinGecko. HND token của HND của Hundred Finances giảm 3.5 phần trăm sau khi nó công bố khai thác, tuy nhiên nó đã phục hồi để đạt mức cao 24 giờ.
“Agave hiện đang điều tra một khai thác trên giao thức tài chính agave”, Agave tweet vào thứ Ba 15 lúc 1:30 chiều UTC, “Chúng tôi sẽ cập nhật bạn ngay khi chúng tôi biết thêm.” Nó lưu ý rằng các hợp đồng đã bị tạm dừng cho đến khi tình hình được giải quyết.
NhómHundred Finance cũng đã tweet nó đã được khai thác trên chuỗi Gnosis và đã tạm dừng thị trường của mình trong khi nó theo đuổi các cuộc điều tra.
Theophân tích trên chuỗi, địa chỉ liên quan đến kẻ tấn công đã gửi hơn 2.100 ETH, trị giá hơn 5,5 triệu đô la, đến máy trộn tiền điện tử trong một nỗ lực để rửa các mã thông báo bị đánh cắp.
Liênquan: Deus Finance khai thác: Tin tặc thoát khỏi 3 triệu đô la trị giá của nhà phát triển DAI và Ether
Solidity và là người tạo ra một thanh khoản NFT ứng dụng giao thức, Shegen (@shegenerates) đã tweet rằng cô đã mất $225,000 trong khai thác và các cuộc điều tra của cô đã tiết lộ cuộc tấn công hoạt động bằng cách khai thác chức năng hợp đồng wETH trên Gnosis Chain điều đó cho phép kẻ tấn công tiếp tục vay tiền điện tử trước khi các ứng dụng có thể tính toán khoản nợ, điều này sẽ ngăn chặn việc vay thêm.
Kẻtấn công chạy khai thác này, liên tục vay đối với cùng một tài sản thế chấp mà họ đang đăng cho đến khi các quỹ được rút ra khỏi các giao thức.
Shegennói với Cointelegraph rằng trong khi hợp đồng thông minh trên Agave về cơ bản giống như Aave, đảm bảo $18,4 tỷ, “mọi nhà nghiên cứu bảo mật đã kiểm toán nó,” cô nói “vì vậy thật hợp lý khi giả định hợp đồng là an toàn.”
“Tôi nghĩ rằng bản hack này nổi bật hơn một số bản hack lớn hơn,” Shegen nói, lưu ý rằng ngay cả khi đó là một hack nhỏ hơn so với những người khác đã đánh cắp hàng triệu người hơn, sự tương đồng với Aave có nghĩa là “nó có vẻ như hàng đầu an toàn, nhưng wasn’t không phải là, and that breakphá vỡ of trustlòng tin hurtđau.”
“Nó giống như bạn thậm chí không thể tin tưởng mã “an toàn”.”
Nhànghiên cứu bảo mật blockchain Mudit Gupta cho biết sự khác biệt giữa Aave và Agave là “Aave tích cực kiểm tra tái xuất cảnh trước khi liệt kê các token trên mạng chính để tránh similar giống attacks tấn công.”
Shegentuyên bố rằng cô không đổ lỗi cho các nhà phát triển Agave vì đã không ngăn chặn cuộc tấn công.
“Agave đã được sử dụng một cách không an toàn”, cô nói, “có lẽ nhà phát triển không nên cho phép mã thông báo có callback trong chúng được sử dụng trong nền tảng, hoặc thêm nhiều bảo vệ tái nhập cảnh hơn.”
“Curve, ví dụ, không bị hack ngày hôm nay, bởi vì nó có thêm lính canh tái nhập cảnh, nhưng tôi không thực sự đổ lỗi cho Luigy và nhóm Agave vì nó không chắc rằng điều này sẽ xảy ra, và trượt qua nhiều người.”
Shegencũng không đổ lỗi cho Gnosis vì tạo mã thông báo có chức năng gọi lại mà hacker khai thác, nói rằng tính năng này ngăn người dùng vô tình mất tiền điện tử của họ.
“Đó thực sự là một tính năng tuyệt vời cho các mã thông báo cầu nối, đó chỉ là một hoàn cảnh thực sự đáng tiếc và không may mắn theo ý kiến của tôi.”
