25 июля компания EraLend подверглась повторной атаке, позволившей неизвестному злоумышленнику скрыться с криптовалютой на сумму около 3,4 млн долларов.
Атака с повторным входом, тип кибератаки, влияющей на смарт-контракты, является одним из наиболее распространенных эксплойтов против протоколов DeFi.
В нем злоумышленник идентифицирует уязвимость в системе безопасности в коде смарт-контракта, чтобы неоднократно вызывать функцию в рамках контракта до завершения предыдущего вызова функции. При (не)правильном выполнении эти вызовы функций могут манипулировать ценой токенов в рамках смарт-контракта, позволяя злоумышленнику вывести из протокола гораздо больше, чем должно быть возможно.
Недостаток использованных оракулов
EraLend, предположительно (согласно их собственному веб-сайту) протокол децентрализованного кредитования zkSync с низким уровнем риска, ранее известный как Nexon Finance, избегал использования оракулов, утверждая, что это делает их менее рискованными.
«Наша кредитная платформа менее рискованна, поскольку не зависит от оракула и ликвидации (внешней ликвидности)».
К несчастью для них — или, скорее, для их несчастных пользователей — их маркетинг был подвергнут испытанию и признан неудовлетворительным.
После атаки, направленной на тайник USDC платформы, все операции по заимствованию были приостановлены. Кроме того, разработчики EraLend посоветовали своему сообществу не вносить средства в долларах США на платформе до тех пор, пока проблема не будет решена.
Обновление системы безопасности. Сегодня на нашей платформе произошел инцидент, связанный с безопасностью. Угроза локализована. На данный момент мы приостановили все кредитные операции и советуем не вносить депозиты в долларах США. Мы работаем с партнерами и фирмами, занимающимися кибербезопасностью, чтобы решить эту проблему.
Больше обновлений…
— ЭраЛенд | Денежный рынок №1 на zkSync (@Era_Lend), 25 июля 2023 г.
Фирмы по кибербезопасности в деле
Чтобы помочь разработчикам EraLend привести свою платформу в порядок и, возможно, даже раскрыть личность человека, стоящего за атакой, несколько фирм, занимающихся кибербезопасностью, и другие партнеры связались с ними. BlockSec подтвердила свою причастность к вскрытию атаки.
Мы помогаем @Era_Lend решить эту проблему, и ее основная причина установлена. Общий убыток составляет ~ 3,4 млн долларов.
В частности, это повторная атака только для чтения.
Другой tx атаки: https://t.co/H4A2suVLai
Адрес злоумышленника:
0xf1D076c9Be4533086f967e14EE6aFf204D5ECE7a https://t.co/InhCCW7QAy
— BlockSec (@BlockSecTeam), 25 июля 2023 г.
Первоначально об эксплойте объявили исследователи кибербезопасности Сприк и Сол. До сих пор не подтверждено, остановилась ли общая потеря стоимости на уровне 3,4 млн долларов США.
«Очевидно, вероятная причина — повторный вход только для чтения, влияющий на цену токена LP. не уверен насчет размера хака, может быть намного больше. все еще пытаюсь разобраться в этом рипе исследователя ковровых блоков».
Хотя украденная сумма бледнеет по сравнению со взломом, подобным тем, которые затронули Ронина или Гармонию, каждый бит украденной криптовалюты складывается.
В прошлом году общая сумма средств, украденных у криптоинвесторов, преодолела барьер в 10 миллиардов долларов США, если принять во внимание мошенничество с инвестициями, откровенное мошенничество и другие злонамеренные схемы. Сегодняшняя атака служит еще одним напоминанием о необходимости провести собственное исследование, прежде чем вкладывать с трудом заработанные деньги в какую-либо платформу.
Сообщение о том, что EraLend взломал протокол криптокредитования на сумму 3,4 миллиона долларов, впервые появилось на CryptoPotato.
