15. mars, en angriper sifonert over 11 millioner dollar fra to Defi plattformer, Agave og Hundre Finance. Det så ut til å være et "reentrancy-angrep" med flashlån på begge protokollene på Gnosis kjede i henhold til etterforskningen. På samme måte stoppet plattformene sine kontrakter for å forhindre ytterligere skade.
Vurderer skaden
Soliditetsutvikler og skaper av en NFT likviditetsprotokoll-app, Shegen valgte å fremheve hacket i en serie tweets 16. mars. Overraskende nok kom denne analysen etter at den nevnte enheten tapte 225,000 XNUMX dollar i samme utnyttelse.
Det har allerede vært noen gode tråder (og noen dårlige som snakket for tidlig) om @Agave_lån og @HundredFinance hacks i dag.
Her er min analyse og refleksjon, etter nettopp å ha tapt over 225 XNUMX dollar fra utnyttelsen, og utforsket hva som skjedde?
— Shegen (@shegenerates) Mars 15, 2022
Hennes foreløpige undersøkelser avslørte at angrepet fungerte ved å utnytte en wETH-kontraktsfunksjon på Gnosis Chain. Det tillot angriperen å fortsette å låne krypto før appene kunne beregne gjelden, noe som ville forhindre ytterligere lån. Ergo bar den skyldige den nevnte utnyttelsen ved å låne mot samme sikkerhet som de stilte inntil midlene tappet fra protokollene.
For å gjøre ting verre, var midlene ikke trygge. "De er nesten borte for alltid, men det er fortsatt håp," hun la til. Når det er sagt, tvitret grunnleggeren av Gnosis, Martin Koppelmann for å bringe inn litt sikkerhet midt i kaoset. Koppelmann hevdet,
kan ikke gi noen løfter, og først bør vi virkelig forstå hva som skjedde. Men jeg vil generelt støtte et GnosisDAO-forslag som vil prøve å hindre brukere i å miste midler ved å for eksempel låne midler/investere midler i @Agave_lån
— Martin Köppelmann ?? (@koeppelmann) Mars 15, 2022
Etter litt videre forskning, skal angriperen ha utplassert denne kontrakten med 3 funksjoner; I blokkene 21120283 og 21120284 brukte hackeren kontrakten til å samhandle med den berørte protokollen, Agave direkte. Den smarte kontrakten på Agave var i hovedsak den samme som Aave, som sikret 18.4 milliarder dollar.
Siden det ikke ble rapportert om utnyttelse AAVE, hvordan kunne Agave dreneres? Vel, her er en sammendrag av hvordan det ble brukt på en usikker måte "utilsiktet".
Weth-kontrakten ble utplassert første gang noen flyttet weth til GC. Hver gang du tar med en ny token over broen, opprettes en ny token-kontrakt for den.
CallAfterTransfer-funksjonen hjelper deg med å forhindre at du sender tokens direkte til broen og mister dem for alltid pic.twitter.com/ZiAZAcTtSI
— Shegen (@shegenerates) Mars 15, 2022
Den nevnte hackeren var i stand til å låne mer enn deres sikkerhet i agave. Dermed går du bort med alle lånbare eiendeler.
kilde: Twitter
De lånte eiendelene besto av 2,728.9 243,423 WETH, 24,563 16.76 USDC, 8,400 347,787 LINK, 11 WBTC, XNUMX XNUMX GNO og XNUMX XNUMX WXDAI. Totalt sett kom hackeren med omtrent XNUMX millioner dollar.
Likevel klandret ikke Shegen Agave-utviklerne for ikke å forhindre angrepet. Hun sa at utviklerne kjørte en sikker og trygg AAVE-basert kode. Selv om brukt med utrygge tokens, på en utrygg måte.
"Alle DeFi-protokoller på GC bør bytte ut eksisterende brokoblede tokens med nye," konkluderte hun.
Blockchain-sikkerhetsforsker Mudit Gupta gjentok en lignende årsak bak utnyttelsen.
Agave og Hundred Finance ble utnyttet i dag på Gnosis-kjeden (tidligere xDAI).
Den underliggende årsaken til hacket er at de offisielle brokoblede tokenene på Gnosis er ikke-standardiserte og har en krok som ringer opp token-mottakeren ved hver overføring. Dette muliggjør reentrancy-angrep. pic.twitter.com/8MU8Pi9RQT
- Mudit Gupta (@Mudit__Gupta) Mars 15, 2022
Kilde: https://ambcrypto.com/how-these-two-defi-protocols-fell-prey-to-11-million-reentrancy-attack/