Хакеры ўзламалі праекты DeFi Agave і Hundred Finance - Bits Media

Адбыўся чарговы ўзлом у сферы дэцэнтралізаваных фінансаў. На гэты раз пацярпелі праекты Agave і Hundred Finance - зламыснікам удалося вывесці актываў на агульную суму $11 млн.

Хакерам атрымалася скарыстацца ўразлівасцю ў функцыі смарт-кантракта для падтрымкі "абгорнутых ETH" (МОРЫ) у сеці ланцуг гнозісу. Зламыснікі маглі працягваць браць крыптавалюты ў доўг да таго, як прыкладанні змаглі палічыць доўг і забеспячэнне і спыніць выдаваць даўгавыя криптовалюты. Таму хакеры шматкроць выкарыстоўвалі адны і тыя ж сродкі ў якасці забеспячэння для атрымання крэдытных токенаў і, у рэшце рэшт, спустошылі пулы ліквіднасці праектаў.

На дадзены момант вядома, што зламыснікі змаглі вывесці $11 мільёнаў у токенах WETH, wBTC, СПАСЫЛКА, USDC, wXDAI і Гнозіс. Пры гэтым вярнуць сродкі практычна немагчыма, тым больш, што хакеры выкарыстоўвалі міксер Tornado Cash для адмывання криптовалют.

Распрацоўнік смарт-кантрактаў пад псеўданімам Shegen падкрэсліла, што пратаколы Agave і Hundred Finance выкарыстоўваюць той жа код, што і папулярны пратакол DeFi Aave, у якім заблакавана актываў на $18.4 млрд. Хутчэй за ўсё, распрацоўнікі Aave неаднаразова праводзілі аўдыт і выправілі ўразлівасць, аднак сам выпадак вельмі паказальны:

«Нават калі код выглядае вельмі бяспечным, і ў ім можа быць уразлівасць, якая разбурыць вашыя надзеі. Падобна, нельга давяраць нават самаму бяспечнаму коду».

Пазней Shegen правяла дадатковае даследаванне і адзначыла, што ўразлівасць была прычынай таго, што распрацоўшчыкі Agave выкарыстоўвалі функцыю «небяспечным» шляхам. аднак, верагоднасць узлому была не занадта вялікай. Буйныя праекты накшталт Curve і Aave праводзяць дадатковыя праверкі забеспячэння пры выдачы крэдытаў і тамака такая сітуацыя немагчымая.

Нагадаем, што на днях была ўзламаная дэцэнтралізаваная платформа Deus Finance. Зламыснікі скралі 200 000 DAO і 1 101.8 Эт, а таксама іншыя актывы на суму каля $3 млн.