L'hacker sottrae $ 1.4 milioni di ETH dal prestatore di NFT Omni

Omni, una piattaforma del mercato monetario di token non fungibili (NFT), è stata prosciugata di circa 1,300 ETH ($ 1.43 milioni) in un attacco di rientro del prestito flash domenica, secondo a PeckShield.

Omni consente agli utenti di mettere in stake i propri NFT, di solito da raccolte popolari come Bored Ape Yacht Club, per ricevere token come ether (ETH). 

L'attacco di oggi ha visto l'hacker sfruttare una vulnerabilità di rientro nel protocollo Omni. Reentrancy è una vulnerabilità nota nei progetti codificati con Solidity che consente a un attore canaglia di forzare il proprio contratto intelligente a effettuare una chiamata esterna a un contratto non attendibile. Questa chiamata esterna viene eseguita prima della funzione originale e può quindi essere utilizzata per rientrare ripetutamente nel protocollo per drenarne la liquidità.

Yajin Zhou, CEO della società di sicurezza blockchain BlockSec, ha spiegato il processo dell'exploit a The Block, affermando che l'attaccante ha depositato NFT da una raccolta chiamata Doodles. Questi NFT sono stati utilizzati come garanzia per prendere in prestito ETH avvolto (WETH).

L'attaccante ha quindi sfruttato la vulnerabilità del rientro ritirando tutti gli NFT depositati come garanzia tranne uno. Questa azione innescato una funzione di callback dannosa a vantaggio dell'attaccante. Questa funzione ha consentito all'hacker di utilizzare i fondi presi in prestito per acquistare ancora più Doodle prima di liquidare la posizione del prestito.

Una volta che la posizione è stata liquidata, il Doodle NFT rimanente dal collaterale originale viene restituito all'attaccante. La posizione creditizia viene liquidata in quanto il valore della NFT inizialmente lasciata a garanzia prima che fosse invocata la funzione di callback non era sufficiente a coprire la posizione debitoria. È qui che entra in gioco il rientro, poiché l'attaccante è in grado di forzare l'uso del WETH preso in prestito per acquistare più NFT prima che avvenga la liquidazione.

L'attaccante ha quindi utilizzato i Doodles acquisiti con il prestito iniziale come garanzia per prendere in prestito più WETH. Omni, tuttavia, non ha riconosciuto questa nuova posizione debitoria, quindi l'hacker potrebbe ritirare gli NFT senza rimborsare il prestito.

L'attacco ha prosciugato più di 1,300 WETH (1.4 milioni di dollari) dal protocollo. Omni ha affermato che l'exploit non ha influito sui fondi dei clienti poiché sono stati interessati solo i fondi di test interni, poiché la piattaforma è ancora in modalità beta test.

La piattaforma del mercato monetario NFT ha affermato di aver sospeso il protocollo in attesa di un'indagine completa. I dati di Etherscan mostrano che lo sfruttatore ha già riciclato i fondi tramite Tornado Cash, un servizio di mixaggio di monete per transazioni private su Ethereum.

© 2022 The Block Crypto, Inc. Tutti i diritti riservati. Questo articolo è fornito a solo scopo informativo. Non viene offerto o destinato a essere utilizzato come consulenza legale, fiscale, di investimento, finanziaria o di altro tipo.