У Solana ухіленая памылка акруглення коштам у $2.6 мільярда - Bits Media

Кампанія па кібербяспецы Neodyme паведаміла аб эксплойце ў блокчейне Solana, які ствараў магчымасць выкрасці заблакаваныя ў пратаколах DeFi токены карыстачоў.

Неадым
напісала ў Twitter аб тым, што выявіла і выправіла памылку ў кантракце аб прадастаўленні токенаў у бібліятэцы праграм Solana (SPL). Па словах спецыялістаў, эксплуатаваць, знойдзены пару месяцаў таму, пагражаў некалькім пратаколам DeFi з агульным аб'ёмам заблакаваных актываў (ТВЛ) на суму $2.6 мільярда. Уразлівасць выклікала памылку акруглення, у выніку блакавалася больш токенаў, чым было ўнесена карыстальнікамі ў кантракт.

Neodyme лічыць, што эксплойт можна было выкарыстоўваць толькі пры арганізаванай кібератацы, накіраванай непасрэдна на ўразлівасць. Аўдытарская група змагла стварыць і прайграць сцэнар, якія яны выкарыстоўвалі для выпраўлення памылкі. Па словах спецыялістаў, выкарыстоўваючы эксплойт, зламыснікі маглі павольна выводзіць токены з платформаў DeFi, і гэта будзе ўспрымацца як павольнае знясіленне APY у некаторых пулах. Neodyme адзначыў важнасць выкарыстання адкрытага зыходнага кода для прыцягнення дапамогі аўдытараў у выпраўленні такіх памылак.

«Мы лічым, што найболей бяспечны адчынены зыходны код, гэта адзін з эфектыўных спосабаў выявіць уразлівасці».

Кампанія па кібербяспецы Neodyme падзялілася інфармацыяй аб памылцы з кампаніямі, якія выкарыстоўваюць код з бібліятэкі. Сярод іх былі пратаколы на Solana, якія не маюць кода ў адкрытым доступе і не могуць быць напрамую правераны. Спецыялісты Neodyme звязаліся з камандамі, якія стаяць за гэтымі пратаколамі, і паведамілі аб уразлівасці.

На мінулым тыдні дэцэнтралізаваная біржа dYdX папярэдзіла карыстальнікаў аб уразлівасці смарт-кантракту, які быў знойдзены хакерам у белым капелюшы. У лістападзе валідатары міжсеткавага пратакола Synapse Bridge папярэдзілі крадзеж актываў на $8 мільёны. Кібератака была накіравана на мост Synapse Bridge паміж сеткамі Polygon і Avalanche. У жніўні платформа SushiSwap пазбегла ўзлому на $365 мільёны дзякуючы хакеру з белай шапкай.