Dva Avalanche (AVAX) DeFi-ja hakirana u jednom danu

Danas, 17. veljače 2023., zlonamjernici su napali dva protokola za decentralizirano financiranje (DeFi) na lancu blokova Avalanche (AVAX). Čini se da su istraživači u lancu uspjeli pronaći barem jednog hakera.

Jedan dan, dva napada

Oko 11:05 ujutro UTC, sigurnosna tvrtka za kriptovalute PeckShield objavila je upozorenje o mogućem hakiranju DeFi-ja. Dexible, DeFi protokol za algoritamsko trgovanje s više blokova koji ima verzije na Ethereumu (ETH), Avalanche (AVAX), Poly mreži (POLY), BNB lancu (BSC) i tako dalje, izgubio je više od 1.5 milijuna dolara zbog ranjivosti u svojoj bazi koda.

Hi @DexibleApp, možda ćete morati zatražiti od korisnika da opozovu dozvolu! (Gubitak je već >1.5 milijuna dolara). Evo jedan hack tx: https://t.co/A076AeXsPz pic.twitter.com/HRQ8MBTSGm

- PeckShield Inc. (@peckshield) Veljače 17, 2023

Ranjivost je pronađena u ugovoru o swap ruteru. Napadač je odmah počeo s pranjem sredstava putem miksera Tornado Cash (TORN). Prema prvoj obdukciji objavljenoj prije nekoliko minuta, stvarna veličina gubitaka tek se izračunava:

To je omogućilo hakeru da ukrade sredstva iz bilo kojeg novčanika koji je imao nepotrošeno odobrenje za potrošnju na ugovoru.

Upravo sada tim radi na planu oporavka. Svi ugovori su pauzirani. Jučer je tim pozvao sve korisnike da migriraju na novu verziju pametnog ugovora.

Također, Platypus, decentralizirani stablecoin protokol temeljen na Avalancheu, pretrpio je napad od 8.5 milijuna dolara. Zlonamjernici su uspjeli organizirati napad na brzi kredit; USP stablecoin projekta pao je ispod 0.5 USD. U suradnji s tvrtkom Tether Limited, tim je uspio zamrznuti sredstva na USDT računu napadača.

ZachXBT stiže u pomoć: napadač Platypus bi mogao biti pronađen

Upravo sada tim pregovara s Binanceom i Circleom kako bi zaključao ostatak napadačevog plijena.

Iskusni istraživač kriptovaluta ZachXBT pomaže timu DeFi-ja u povratu sredstava. Tvrdio je da je otkrio Twitter nalog napadača. Napadač možda koristi domenu retlqw.eth ENS.

Hi @retlqw jer si deaktivirao svoj račun nakon što sam ti poslao poruku.

Pratio sam adrese do vašeg računa od @Platypusdefi exploit i ja sam u kontaktu s njihovim timom i razmjenama.

Željeli bismo pregovarati o povratu sredstava prije nego što stupimo u kontakt s policijom. pic.twitter.com/oJdAc9IIkD

— ZachXBT (@zachxbt) Veljače 17, 2023

Nakon ove izjave, retlqw.eth je deaktivirao svoje Twitter i Instagram račune. Međutim, ZachXBT mu je uspio ponuditi bug bounty u ime Platypus tima.