getblock.net
Что произошло? 21 июля децентрализованный протокол Conic Finance столкнулся с хакерской атакой, в результате которой проекту был нанесен ущерб в размере 1700 $ETH (более 3,2 млн долларов). Неизвестный злоумышленник использовал уязвимость для манипулирования ценовым оракулом. Об этом сообщил директор по информационной безопасности компании BlockSec Мэтью Цзян.
Новость на сайте The Block
DeFi-протокол Conic Finance предназначен для распределения средств на децентрализованной бирже (DEX) Curve с использованием пулов ликвидности, которыми она управляет.
Что еще известно? При подобных атаках используется возможность многократного вызова функции в рамках одной транзакции до завершения первоначального вызова функции. Этот механизм позволяет злоумышленнику вывести больше средств, чем должно быть заложено в алгоритме. В ходе инцидента хакер взял флэш-кредит в размере 20 000 stETH, эти средства были направлены в протокол Conic, где путем манипуляций с ценовым оракулом прибыль от продажи была увеличена.
Согласно предварительным выводам команды Conic Finance, основной причиной стала атака повторного входа, которая стала возможна из-за неверного считывания адресов в реестре $ETH-пулов Curve V2. Разработчики занимаются исправлением затронутого контракта. Они отметили, что эксплойт не может быть реализован в $ETH-пуле Omni, а вывод средств безопасен.
По данным аналитиков компании в сфере кибербезопасности PeckShield, основная причина кроется в уязвимости нового контракта CurveLPORacleV2.
Криптолендинговый протокол Geist Finance объявил о закрытии из-за взлома Multichain
Работа контрактов платформы была приостановлена еще 6 июля
Читать дальше
Ранее DeFi-протокол Euler Finance потерял более 175 млн долларов в результате атаки флэш-кредитования. При этом в компании по кибербезопасности CertiK назвали большую сумму ущерба. По их данным, злоумышленники вывели ~196 млн долларов, включая почти 43 млн в DAI и 93 800 в обернутых Ethereum (wETH).
В феврале стейблкоин USP потерял привязку к доллару после взлома DeFi-протокола Platypus. Хакеры использовали флэш-кредиты на токены Avalanche (AVAX). Позднее подозреваемых во взломе задержали во Франции.