Piattaforma NFT XCarnival sotto attacco: i malfattori usano il token BAYC

Contenuti

• La piattaforma di prestito NFT di XCarnival è stata attaccata tramite un vettore insolito
• Gli hacker hanno iniziato a restituire fondi

Come da protocollo post-mortem, le agenzie di sicurezza hanno già "determinato provvisoriamente" la posizione degli hacker e le trattative sono in corso.

La piattaforma di prestito NFT di XCarnival è stata attaccata tramite un vettore insolito

Secondo la dichiarazione condivisa da PeckShield, fornitore leader di sicurezza informatica per prodotti blockchain, la piattaforma di prestito NFT XCarnival è stata attaccata.

1/ @XCarnival_Lab è stato sfruttato in una raffica di txs (un hack tx: https://t.co/LUcxSU9UQn),
portando al guadagno di 3,087 ETH (~$3.8M) per l'hacker (la perdita del protocollo potrebbe essere maggiore). pic.twitter.com/mmGw5PQfbt

- PeckShield Inc. (@peckshield) 26 Giugno 2022

Gli aggressori sono riusciti a ottenere un numero infinito di prestiti utilizzando lo stesso NFT di alto profilo (Bored Apes Yacht Club #5110). Il protocollo è stato preso di mira da una "turbina" di transazioni avviate dagli hacker.

I malfattori sono riusciti a generare più indirizzi contrattuali, impegnare BAYC NFT come garanzia, ottenere un prestito, ritirare immediatamente un NFT e ripetere questa procedura più volte.

In quanto tali, gli hacker hanno preso in prestito oltre $ 3.8 milioni in Ethereum (ETH) senza bisogno di rimborsare il prestito. Ciò è diventato possibile a causa della vulnerabilità nella base di codice del modulo di prestito.

Gli hacker hanno iniziato a restituire fondi

Il team ha prontamente segnalato il problema alla sicurezza informatica e alle forze dell'ordine. Inizialmente, all'hacker è stata offerta una taglia di $ 300,000 per recuperare i fondi, ma poi la somma è stata aumentata a $ 1.8 milioni.

Il contratto principale e le funzioni di deposito e prestito sono stati chiusi per impedire agli utenti di XCarnival di perdere i propri fondi.

Quando l'aggressore è stato rintracciato, sono iniziate le trattative. Al momento della stampa, ha restituito 1,467 Ether (ETH) rubati. Va anche notato che i fondi iniziali per l'attacco sono stati trasferiti dal mixer Tornado Cash.

Come spiegato in precedenza da U.Today, gli hacker hanno attaccato il protocollo di prestito/prestito decentralizzato di Inverse Finance all'inizio di questo mese; le perdite hanno eclissato $ 1.25 milioni di equivalenti.