Tech

Raydium annuncia i dettagli dell'hacking, propone un risarcimento per le vittime

12/21/2022
Notizie su Bitcoin Ethereum

Il team dietro l'exchange decentralizzato Raydium (DEX) ha annunciato i dettagli su come si è verificato l'hack del 16 dicembre e ha offerto una proposta per risarcire le vittime.

Secondo un post sul forum ufficiale del team, l'hacker è riuscito a guadagnare oltre 2 milioni di dollari in bottino di criptovalute sfruttando una vulnerabilità nei contratti intelligenti del DEX che ha consentito agli amministratori di ritirare interi pool di liquidità, nonostante le protezioni esistenti fossero per impedire tale comportamento. 

Il team utilizzerà i propri token sbloccati per risarcire le vittime che hanno perso i token Raydium, noti anche come RAY. Tuttavia, lo sviluppatore non ha la stablecoin e altri token non RAY per risarcire le vittime, quindi chiede un voto ai possessori di RAY per utilizzare la tesoreria dell'organizzazione autonoma decentralizzata (DAO) per acquistare i token mancanti per rimborsare le persone colpite dal sfruttare.

Secondo un rapporto post mortem separato, il primo passo dell'attaccante nell'exploit è stato quello di guadagno controllo di una chiave privata del pool di amministratori. Il team non sa come sia stata ottenuta questa chiave, ma sospetta che la macchina virtuale che conteneva la chiave sia stata infettata da un programma trojan.

Una volta che l'attaccante ha avuto la chiave, ha chiamato una funzione per ritirare le commissioni di transazione che normalmente sarebbero andate al tesoro del DAO per essere utilizzate per i riacquisti di RAY. Su Raydium, le commissioni di transazione non vanno automaticamente al tesoro al momento di uno scambio. Invece, rimangono nel pool del fornitore di liquidità fino a quando non vengono ritirati da un amministratore. Tuttavia, lo smart contract tiene traccia dell'importo delle commissioni dovute alla DAO tramite parametri. Ciò avrebbe dovuto impedire all'attaccante di poter prelevare più dello 0.03% del volume totale di scambi che si era verificato in ciascun pool dall'ultimo prelievo.

Tuttavia, a causa di un difetto nel contratto, l'attaccante è stato in grado di modificare manualmente i parametri, facendo sembrare che l'intero pool di liquidità fosse costituito da commissioni di transazione che erano state riscosse. Ciò ha permesso all'attaccante di ritirare tutti i fondi. Una volta prelevati i fondi, l'aggressore è stato in grado di scambiarli manualmente con altri token e trasferire i proventi su altri portafogli sotto il suo controllo.

Correlato: Lo sviluppatore afferma che i progetti si rifiutano di pagare ricompense agli hacker white hat

In risposta all'exploit, il team ha aggiornato i contratti intelligenti dell'app per rimuovere il controllo dell'amministratore sui parametri sfruttati dall'attaccante.

Nel post sul forum del 21 dicembre, gli sviluppatori hanno proposto un piano per risarcire le vittime dell'attacco. Il team utilizzerà i propri token RAY sbloccati per risarcire i possessori di RAY che hanno perso i propri token a causa dell'attacco. Ha chiesto una discussione del forum su come implementare un piano di compensazione utilizzando la tesoreria della DAO per acquistare token non RAY che sono stati persi. Il team chiede che si svolga una discussione di tre giorni per decidere la questione.

L'hacking di Raydium da 2 milioni di dollari è stato prima scoperta il 16 dicembre. I rapporti iniziali affermavano che l'attaccante aveva utilizzato la funzione collect_pnl per rimuovere liquidità dai pool senza depositare token LP. Ma poiché questa funzione avrebbe dovuto consentire all'attaccante solo di rimuovere le commissioni di transazione, il metodo effettivo con cui avrebbero potuto prosciugare interi pool non era noto fino a quando non fosse stata condotta un'indagine.