Уразлівасць у Multichain магла прывесці да страты крыптаактываў на $1 млрд – Біты СМІ

Якая спецыялізуецца на бяспецы DeFi кампанія Dedaub выявіла ўразлівасць у пратаколе Multichain, здольную прывесці да крадзяжу актываў на суму $1 млрд.

Уразлівасць была ўпершыню выяўлена на мінулым тыдні, калі хакеры з яе дапамогай вывелі криптовалют на $2 млн. Dedaub апублікавала ў сваім блогу заяву аб тым, што пад пагрозай крадзяжу былі актывы коштам у 500 раз больш. Прычым, як аказалася, уразлівасці было дзве. Адна з іх знаходзілася ў пуле ліквіднасці WETH., а іншая ― у смарт-кантракце маршрутызатара. Гэта падсістэма, размяркоўвалая токены па сетках.

«Пагроза была значнай. Яе можна назваць максімальна магчымай для аднаго пратакола.. У выпадку паўнавартаснага выкарыстання ўразлівасці пад пагрозай былі актывы на мільярд долараў. Гэта быў бы адзін з самых маштабных узломаў у гісторыі», ― пішуць прадстаўнікі Dedaub.

Па словах спецыялістаў па камп'ютарнай бяспецы, хакеры маглі б атрымаць $431 млн у токен WETH з дапамогай ўсяго адной транзакцыі. Гэтыя сродкі захоўваліся ўсяго на трох кашальках., уключаючы адрас AnySwap Fantom Bridge, дзе мелася $367 млн. Таксама хакеры змаглі б вывесці сродкі з 5000 кашалькоў карыстальнікаў, якія не адклікалі дазволы на ўзаемадзеянне са сродкамі. яшчэ $40 млн зламыснікі маглі б вывесці з пулаў ліквіднасці для іншых сетак, кажуць у Dedaub.

Але галоўная шчыліна для зламыснікаў была ў мосце AnySwap Fantom Bridge. Апроч крадзяжу, якія захоўваюцца на адрасе. $367 млн, хакеры маглі б бясконца падвойваць свае сродкі - укладваць токены ў сеткі Эфірыума., атрымліваць іх у сетцы Fantom, а затым забіраць токены з пула ў сетцы Эфірыума. Пры гэтым актывы ў сетцы Fantom заставаліся б легітымнымі і каштоўнымі..

Кашалькі, якія не адклікалі дазволы для смарт-кантрактаў Multichain, застаюцца ўразлівыя для хакераў. Зламыснікі змаглі вывесці 1150 ETH ($2.8 млн), але затым вярнулі 320 Эт ($780 000). Такім чынам, страты склалі больш $2 млн. Раней паведамлялася, што хакеры вывелі актываў на $1.34 млн.