Nii CeFi kui ka DeFi börside likviidsuse koondaja Orion Protocol häkkis neljapäeval oma põhilepingut nii Ethereumi kui ka Binance Smart Chainsi (BSC) juurutustes.
Häkker kogus üle 1700 ETH, mille väärtus oli kirjutamise ajal kokku üle 3 miljoni dollari.
Veel üks Reentrancy Hack
As selgitas plokiahela turvafirma PeckShield poolt Twitteris sai neljapäevane häkkimine võimalikuks "puuduliku tagasipääsukaitse tõttu". Taassisenemise viga viitab sellele, kui ründaja võib nutikast lepingust korduvalt raha tasuta välja võtta.
PeckShield täpsustas, et funktsioon swapThroughOrionPool võimaldab igaühel, kellel on loodud žetoonid, kaaperdada oma ülekande ja siseneda uuesti hoiusevara funktsiooni. See võimaldab kasutajatel suurendada oma saldot ilma tegelike rahaliste kuludeta.
Sel juhul kasutas häkker Orioni kogumitega manipuleerimiseks äsja loodud ATK-nimelist tunnust ja isehävitavat nutikat lepingut.
4/ Häkkimist alustatakse esmalt BSC-st, mille esialgne fond on 0.4 BNB alates @TornadoCash. ETH häkk tõmbab algfondi 0.4 ETH alates @SimpleSwap_io. Pärast häkkimist hoiustatakse 1100 ETH-d @TornadoCash ja muu 657 ETH jääb häkkeri kontole: https://t.co/wGG6RA0qii pic.twitter.com/lRj9HGEgQc
- PeckShield Inc. (@peckshield) Veebruar 3, 2023
Orioni tegevjuht Aleksei Koloskov avaldas a niit selgitades ärakasutamist varsti pärast selle toimumist.
"Meil on põhjust arvata, et probleemi põhjuseks ei olnud meie põhiprotokolli koodi puudused, vaid see võis olla põhjustatud haavatavusest kolmandate osapoolte teekide segamisel ühes meie eksperimentaalsete ja eramaaklerite kasutatavatest nutikatest lepingutest. ," ta ütles.
Koloskov märkis, et kasutatud leping ei olnud avalikkusele eriti oluline, vaid seda kasutas peamiselt üks tema eksperimentaalseid maaklereid ettevõtte rahanduskassaga. Ta ütles, et kasutajate raha on 100% ohutu.
Sellegipoolest on Orioni hoiuse funktsioon suletud ja seda ei avata uuesti enne, kui viga on parandatud ja korralikud auditid tehtud.
DeFi Honeypot
DeFi häkkide kaudu varastatud rahasumma kasvab aja jooksul: 2022. aastal varastati 3.8 miljardit dollarit, krüptosummast 1.7 miljardit dollarit võtnud ainult Põhja-Korea häkkerite poolt.
Suure osa sellest rahast võttis Põhja-Korea Lazarus Group, mis on kahtlus juunis 100 miljonit dollarit maksnud Harmony silla häkkimise.
Mõned krüptohäkkide tulusamad sihtmärgid on olnud plokiahela sillad – kuhu hoitakse krüptovaluutasid, mis toetavad nende teistes plokiahelates ringlevaid tokeniseeritud variante.
Oktoobris peatasid validaatorid Binance Smart Chain'i (BSC) tegevuse pärast seda, kui häkker vermis plokiahela silda kasutades tühjast õhust 2 miljonit BNB (tol ajal väärtuses 600 miljonit dollarit). Suur osa BNB-st oli kiire pühkis minema teistele kettidele.
Binance tasuta 100 $ (eksklusiivne): Kasuta seda linki registreeruda ja saada Binance Futuresi esimesel kuul 100 dollarit tasuta ja 10% allahindlust (tingimused).
PrimeXBT eripakkumine: Kasuta seda linki registreerumiseks ja sisestage POTATO50 kood, et saada kuni 7,000 dollarit oma sissemaksete pealt.
Allikas: https://cryptopotato.com/orion-protocol-hacked-for-3-million-through-reentrancy-attack/