Хакер вывел из DeFi-протокола Popsicle Finance более $20 млн

DeFi-проект Popsicle Finance подвергся хакерской атаке, в результате которой лишился $20,7 млн. 

Popsicle Sorbetto Fragola, our Uniswap V3 optimizer last night was hacked.

Thanks to all that supported us in the last hours, and in general to our unbelievable community that continuously makes us want to deliver!

Here is our Post Mortem: https://t.co/DuXMNos9td

— Popsicle Finance (@PopsicleFinance) August 4, 2021

Ошибка обнаружилась в продукте проекта Sorbetto Fragola. Он позволяет пользователям размещать активы в наиболее доходных пулах ликвидности. Согласно сайту Popsicle Finance, решение разработано специально для Uniswap v3, внедрившей концентрированную ликвидность.

По данным DeFi-протокола, злоумышленник опустошил 85% пулов Sorbetto Fragola.

«Хакер заставил контракт полагать, что он получил столько же комиссий, как и общий объем заблокированных в пуле средств и, исходя из этого, имеет право на $20,7 млн, находившихся в пуле», — говорится в сообщении проекта.

Впоследствии он обменял полученные монеты на ETH на Uniswap, а затем отправил на сервис микширования Tornado.Cash, чтобы впоследствии отмыть средства, утверждают в Popsicle Finance.

Разработчик SushiSwap Мудит Гупта заявил, что «взлом был сложным, но баг простой». По его данным, в результате атаки хакер вывел $25 млн.

Popsicle Finance exploited, hacker drained ~$25m. The hack was complex but the bug was simple. TX Hash: https://t.co/CqyVvCq5I7

Basically, Popsicle doesn't transfer the reward debt when users transfer their shares. This exposes multiple exploits, one of which was used here 🧵👇 pic.twitter.com/shdYdyemD9

— Mudit Gupta (@Mudit__Gupta) August 4, 2021

За возврат средств Popsicle Finance предложило злоумышленнику $1 млн «в любой валюте».

Депозиты для всех пулов заблокированы, единственными доступными для вывода пулами являются AXS/ETH, YGG/USDC, LINK/ETH и все пулы EURt. Пользователей призвали вывести средства из них.

Команда пообещала рассказать о плане компенсации потерь пользователям позже.

Напомним, в июле команда DeFi-протокола THORChain объявила о приостановке работы после нескольких хакерских атак.