forklog.com
В ночь на 28 апреля криптовалютный проект Uranium Finance подвергся атаке. Предварительный ущерб оценивают $50 млн.
(1/2)‼️ Uranium migration has been exploited, the following address has 50m in it The only thing that matters is keeping the funds on BSC, everyone please start tweeting this address to Binance immediately asking them to stop transfers.
— Uranium Finance (@UraniumFinance) April 28, 2021
Uranium Finance базируется на блокчейне Binance Smart Chain и работает над созданием улучшенного протокола автоматизированного маркетмейкера.
28 апреля разработчики планировали провести миграцию активов поставщиков ликвидности на новую версию протокола. Однако в процессе возникла уязвимость, из-за которой хакеры получили доступ к средствам пользователей.
Пользователь Twitter под псевдонимом BeTheb0x обратил внимание на ошибку в коде нового форка:
Now here’s the code used by the Uranium devs:
See the difference? 1000 was changed to 10000 in two places but not the end. The result? You could swap 1 wei of the input token for 98% of the total balance of the output token. pic.twitter.com/c8pRD55Fe9
— Kyle «1B TVL» Kistner | Fulcrum | bZx (@BeTheb0x) April 28, 2021
«Таким образом можно обменять 1 wei входящего токена на 98% от общего баланса исходящего токена», — написал он.
Представители проекта подтвердили инцидент:
«Миграция Uranium Finance подверглась эксплойту. Следующий адрес содержит $50 млн. Сейчас важно удержать эти средства в BSC. Немедленно отправьте Binance твиты с этим адресом и попросите их остановить переводы».
Хакер выводит Ethereum с кошельков проекта через миксер Tornado Cash.
And here are the transactions with 100s of ETH coming in, and then being send out to Tornado Cash shortly afterwards to clean it up.
Millions of dollars worth of ETH :X pic.twitter.com/p1gzwPIBdj
— MyCrypto.com (@MyCrypto) April 28, 2021
Разработчики Uranium Finance связались со специалистами по безопасности Binance для решения проблемы.
Напомним, в марте неизвестный взломал блокчейн-платформу для выпуска «социальных денег» Roll и похитил 3000 ETH (~$5,7 млн).