ru.bitcoinsistemi.com
Компания Lien Finance потеряла приблизительно 542 000 $USDC из-за уязвимости в логике обмена токенов облигаций. Злоумышленник использовал эту уязвимость для создания необеспеченных активов и истощения ликвидности протокола. Исследователи безопасности заявили, что эта уязвимость позволила выпускать новые токены и обменивать их на реальную ликвидность без уничтожения токенов облигаций.
Технические подробности атаки
Компания SlowMist, специализирующаяся на безопасности блокчейна, объявила, что атака была направлена на механизм обмена облигаций Lien Finance. Злоумышленник использовал функцию exchangeEquivalentBonds в контракте BondMakerCollateralizedEth для создания токенов облигаций без уничтожения исходных облигаций, а затем обменял их на $USDC. В результате было выведено приблизительно 542 144,63 $USDC. SlowMist заявила, что атака произошла из-за недостаточной проверки групп облигаций во время обмена. Адрес кошелька, использованный злоумышленником, был идентифицирован как 0x0d7d…1808a.
Недостатки протокола и их последствия
Анализ блокчейна, проведенный DefimonAlerts, показал, что атака произошла из-за уязвимостей в регистрации и ценообразовании облигаций без разрешений. Злоумышленник создал облигации, содержащие вредоносную платежную функцию, зарегистрировав новую партию облигаций через контракт BondMakerCollateralizedEth. Эти облигации были направлены в внебиржевые пулы Lien Finance и заменены реальной ликвидностью $USDC. После атаки пострадали несколько контрактов, включая контракт GeneralizedDotc компании Lien Finance.
Этот инцидент добавляет еще одну уязвимость к недавно участившемуся числу нарушений безопасности в протоколах DeFi. В июле другие протоколы также подверглись аналогичным атакам, в результате которых были понесены убытки на миллионы долларов. Lien Finance пока не опубликовала подробный технический отчет по этой атаке. Исследователи отмечают, что такие атаки вызваны недостатками в логике ценообразования и валидации протокола.