Хакер снял $1,34 млн из Raydium, притворившись владельцем заброшенных бассейнов

Хакер вывел примерно 1,34 миллиона долларов из программы Legacy AMM V3 от Raydium, нацелившись на пять пулов ликвидности, которые были устаревшие много лет назад, но так и не были полностью отключены в сети. Эксплойт был обнаружен и раскрыт основной командой Raydium, которая подтвердила, что украденные активы будут полностью возмещён из казны протокола.

Ни один из текущих пользователей Raydium не был затронут. Эксплуатируемые пулы были недоступны через интерфейс Raydium с момента их устарения, а текущие программы основной сети, SDK и DApp остаются полностью неизменными.

Что было украдено

Атакующий опустошил пять неактивных пулов:

• Sollet USDT / $RAY
• Sollet ETH / $RAY
• SRM / $RAY
• $USDC / $RAY
• РЭЙ / СОЛ

Общее количество удаленных активов:

• 150 177 $RAY
• 5 603 СОЛ
• 893 700 $USDC

Совокупная рыночная стоимость на момент эксплуатации: примерно $1,34 миллиона.

Как работал эксплойт

Программа Legacy AMM V3 изначально была создана для размещения заказов в книге заказов Serum за счет заложенных средств. Он не обеспечивал функции замены. После прекращения использования Serum связанная с ней ликвидность просто простояла в цепочке.

Уязвимость была логическим недостатком в валидации LP Mint. Программа полагалась на предложение LP-токенов для проверки пропорций, но не смогла должным образом проверить адрес LP-монетного двора. Злоумышленник создал поддельный монетный двор, использовал его как LP-токен и полностью обойдён проверки пропорций, что позволило ему выводить реальные активы из пулов без легитимного владения.

Raydium подтвердила, что дефект был самодостаточным и не вызван ключевым компромиссом или проблемой на уровне власти. Для других программ нет риска распространения. Все современные программы Raydium в основной сети используют виртуальный источник и корректно проверяют адрес LP-mint, полностью предотвращая этот тип атак.

Узор

Эксплойт произошёл через несколько дней после того, как Humanity Protocol потерял 31 миллион долларов из-за скомпрометации приватного ключа после того, как компьютер разработчика был заражен вредоносным ПО. Два значительных эксплойта DeFi за одну неделю подтверждают то, о чём исследователи безопасности предупреждали уже несколько месяцев — о том, что спящие контракты и скомпрометированная инфраструктура разработчиков являются самыми уязвимыми для атак в текущем цикле.

Члены сообщества отметили, что кошелек эксплуататора был профинансирован через адрес горячего кошелька KuCoin, что команда Raydium подтвердила, что отслеживает в рамках текущего расследования.

Связано: Хакеры используют фейковые задания LinkedIn, чтобы украсть крипто-конвейеры кода разработчиков