Il 15 marzo un attaccante sifonato oltre $ 11 milioni da due DeFi piattaforme, Agave ed Cento finanze. Sembrava essere un "attacco di rientro" in prestito lampo su entrambi i protocolli sul Catena della Gnosi come da indagine. Allo stesso modo, le piattaforme hanno sospeso i loro contratti per prevenire ulteriori danni.
Valutare il danno
Sviluppatore di solidità e creatore di un NFT app per il protocollo di liquidità, Shegen ha scelto di evidenziare l'hacking in una serie di tweet il 16 marzo. Sorprendentemente, questa analisi è arrivata dopo che la suddetta entità ha perso $ 225,000 nello stesso exploit.
Ci sono già stati alcuni buoni thread (e alcuni cattivi che hanno parlato troppo presto) sul @Agave_prestito ed @CentoFinanza hack oggi.
Ecco la mia analisi e riflessione, dopo aver appena perso oltre $ 225k dall'exploit, ed esplorato cosa è successo?
— Shegen (@shegenerates) 15 Marzo 2022
Le sue indagini preliminari hanno rivelato che l'attacco ha funzionato sfruttando una funzione contrattuale wETH su Gnosis Chain. Ha consentito all'attaccante di continuare a prendere in prestito criptovalute prima che le app potessero calcolare il debito, il che impedirebbe ulteriori prestiti. Ergo, il colpevole ha portato a termine il suddetto exploit prendendo in prestito la stessa garanzia che hanno pubblicato fino a quando i fondi non sono stati prosciugati dai protocolli.
A peggiorare le cose, i fondi non erano al sicuro. "Sono praticamente scomparsi per sempre, ma c'è ancora speranza", ha detto aggiunto. Detto questo, il fondatore di Gnosis, Martin Koppelmann, ha twittato per portare una certa certezza in mezzo al caos. Koppelmann ha affermato,
non possiamo fare promesse, e prima dovremmo davvero capire cosa è successo. Ma in genere sarei favorevole a una proposta di GnosisDAO che cercherebbe di impedire agli utenti di perdere fondi, ad esempio prendendo in prestito fondi/investendo fondi in @Agave_prestito
— Martin Köppelmann ?? (@koeppelmann) 15 Marzo 2022
Dopo alcune ulteriori ricerche, l'attaccante avrebbe schierato questo contratto con 3 funzioni; Nei blocchi 21120283 e 21120284, l'hacker ha utilizzato il contratto per interagire direttamente con il protocollo interessato, Agave. Il contratto intelligente su Agave era essenzialmente lo stesso di Aave, che si è assicurato $ 18.4 miliardi.
Poiché non è stato segnalato alcun exploit in AAVE, come si può drenare l'Agave? Bene, ecco un sommario di come è stato utilizzato in modo non sicuro “non intenzionalmente”.
Il contratto Weth è stato implementato la prima volta che qualcuno si è trasferito a Weth in GC. Ogni volta che porti un nuovo token oltre il bridge, viene creato un nuovo contratto token per esso.
La funzione callAfterTransfer ti aiuta a impedirti di inviare token direttamente al bridge e di perderli per sempre pic.twitter.com/ZiAZAcTtSI
— Shegen (@shegenerates) 15 Marzo 2022
Il suddetto hacker è stato in grado di prendere in prestito più della loro garanzia in agave. In tal modo, allontanandosi con tutti i beni mutuabili.
Fonte: Twitter
Le attività prese in prestito comprendevano 2,728.9 WETH, 243,423 USDC, 24,563 LINK, 16.76 WBTC, 8,400 GNO e 347,787 WXDAI. Complessivamente, l'hacker ha guadagnato circa 11 milioni di dollari.
Tuttavia, Shegen non ha incolpato gli sviluppatori di Agave per non aver impedito l'attacco. Ha detto, gli sviluppatori hanno eseguito un codice basato su AAVE sicuro. Sebbene utilizzato con token non sicuri, in modo non sicuro.
"Tutti i protocolli DeFi su GC dovrebbero sostituire i token con bridge esistenti con quelli nuovi", ha concluso.
Ricercatore di sicurezza blockchain Mudi Gupta ribadito una causa simile dietro l'exploit.
Agave e Hundred Finance sono stati sfruttati oggi sulla catena Gnosis (ex xDAI).
Il motivo alla base dell'hacking è che i token bridge ufficiali su Gnosis non sono standard e hanno un hook che chiama il ricevitore del token ad ogni trasferimento. Ciò consente attacchi di rientro. pic.twitter.com/8MU8Pi9RQT
- Mudit Gupta (@Mudit__Gupta) 15 Marzo 2022
Fonte: https://ambcrypto.com/how-these-two-defi-protocols-fell-prey-to-11-million-reentrancy-attack/