To Avalanche (AVAX) DeFis hacket på én dag

I dag, 17. februar 2023, ble to desentraliserte finansprotokoller (DeFi) på Avalanche (AVAX) blokkjede angrepet av ondsinnede. Det ser ut til at forskere på kjeden klarte å finne minst én hacker.

En dag, to angrep

Rundt klokken 11:05 UTC la kryptovalutasikkerhetsfirmaet PeckShield ut et varsel om et mulig DeFi-hack. Dexible, en multi-blockchain algoritmisk DeFi-handelsprotokoll som har versjoner på Ethereum (ETH), Avalanche (AVAX), Poly Network (POLY), BNB Chain (BSC) og så videre, tapte over 1.5 millioner dollar på grunn av sårbarhet i kodebasen.

Hi @DexibleApp, kan det hende du må be brukere om å tilbakekalle godtgjørelse! (Tapet er allerede >1.5 millioner dollar). Her er en hack tx: https://t.co/A076AeXsPz pic.twitter.com/HRQ8MBTSGm

- PeckShield Inc. (@peckshield) Februar 17, 2023

Sårbarheten ble funnet i en bytteruterkontrakt. Angriperen begynte umiddelbart å hvitvaske midler gjennom Tornado Cash (TORN) mikser. Per den første obduksjonen som ble utgitt for noen minutter siden, er den faktiske størrelsen på tapene ennå ikke beregnet:

Dette tillot hackeren å stjele midler fra enhver lommebok som hadde en ubrukt forbruksgodkjenning på kontrakten.

Akkurat nå jobber teamet med en gjenopprettingsplan. Alle kontrakter er satt på pause. I går inviterte teamet alle brukere til å migrere til en ny versjon av smart kontrakt.

Platypus, en Avalanche-basert desentralisert stablecoin-protokoll, led også av et angrep på 8.5 millioner dollar. Malefactors klarte å organisere et flashlånsangrep; USP stablecoin for prosjektet falt under $0.5. I et samarbeid med Tether Limited klarte teamet å fryse midlene på angriperens USDT-konto.

ZachXBT kommer til unnsetning: Platypus-angriperen kan bli funnet

Akkurat nå er teamet i samtaler med Binance og Circle for å låse resten av angripernes bytte.

Den erfarne kryptovalutaforskeren ZachXBT bistår teamet til DeFi med å få tilbake pengene. Han hevdet at han oppdaget Twitter-kontoen til angriperen. Angriperen kan bruke domene retlqw.eth ENS.

Hi @retlqw siden du deaktiverte kontoen din etter at jeg sendte deg en melding.

Jeg har sporet adresser tilbake til kontoen din fra @Platypusdefi utnytte og jeg er i kontakt med teamet og utvekslingene deres.

Vi ønsker å forhandle om tilbakeføring av midlene før vi går i kontakt med rettshåndhevelse. pic.twitter.com/oJdAc9IIkD

— ZachXBT (@zachxbt) Februar 17, 2023

Etter denne uttalelsen deaktiverte retlqw.eth både Twitter- og Instagram-kontoene sine. Imidlertid klarte ZachXBT å tilby ham en bug-premie på vegne av Platypus-teamet.