У Solana усунуто помилку «округлення» вартістю в $2.6 мільярда – Біти медіа

від
В Solana устранена ошибка «округления» стоимостью в $2.6 миллиарда - Bits Media

Компанія з кібербезпеки Neodyme повідомила про експлойт у блокчейні Solana, який створював можливість викрасти заблоковані у протоколах DeFi токени користувачів.

Неодим
написала в Twitter про те, що виявила та виправила помилку в контракті про надання токенів у бібліотеці програм Solana (SPL). На думку експертів, експлуатувати, виявлений пару місяців тому, погрожував декільком протоколам DeFi із загальним обсягом заблокованих активів (TVL) на суму $2.6 мільярдa. Вразливість викликала помилку округлення, в результаті блокувалося більше токенів, чим було внесено користувачами у контракт.

Neodyme вважає, що експлойт можна було використовувати тільки при організованій кібератаці, спрямованої безпосередньо на вразливість. Аудиторській групі вдалося створити та відтворити сценарій, який вони використовували для усунення помилки. На думку експертів, використовуючи експлойт, зловмисники могли б не поспішаючи виводити токени з платформ DeFi, і це сприймалося б як повільне виснаження APY у деяких пулах. Neodyme наголосила на важливості використання відкритого вихідного коду для залучення допомоги аудиторів у виправленні подібних помилок.

“Ми думаємо, що найбільш безпечний відкритий вихідний код, це один із ефективних способів виявити вразливості».

Компанія з кібербезпеки Neodyme поділилася інформацією про помилку з компаніями, які використовують код із бібліотеки. Серед них були протоколи на Solana, які не мають коду у відкритому доступі та не можуть бути безпосередньо перевірені. Фахівці Neodyme зв'язалися з командами, що стоять за цими протоколами, та повідомили про вразливість.

Минулого тижня децентралізована біржа dYdX попередила користувачів про вразливість смарт-контракту, яку виявив «білий хакер». У листопаді валідатори міжмережевого протоколу Synapse Bridge запобігли крадіжці активів на $8 мільйонів. Кібератака була націлена на міст Synapse Bridge між мережами Polygon та Avalanche. У серпні платформа SushiSwap уникла злому на $365 мільйонів завдяки «білому хакеру».