Dva Avalanche (AVAX) DeFis hacknuté za jeden deň

Dnes, 17. februára 2023, dva protokoly decentralizovaných financií (DeFi) na blockchaine Avalanche (AVAX) boli napadnuté zločincami. Zdá sa, že výskumníkom v reťazci sa podarilo nájsť aspoň jedného hackera.

Jeden deň, dva útoky

Okolo 11:05 UTC spoločnosť PeckShield zaoberajúca sa zabezpečením kryptomien zverejnila upozornenie na možný hack DeFi. Dexible, multi-blockchainový algoritmický obchodný protokol DeFi, ktorý má verzie pre Ethereum (ETH), Avalanche (AVAX), Poly Network (POLY), BNB Chain (BSC) a tak ďalej, stratil viac ako 1.5 milióna dolárov kvôli zraniteľnosti vo svojej kódovej základni.

Hi @DexibleApp, možno budete musieť požiadať používateľov o zrušenie príspevku! (Strata je už viac ako 1.5 milióna USD). Tu je jeden hack TX: https://t.co/A076AeXsPz pic.twitter.com/HRQ8MBTSGm

- PeckShield Inc. (@peckshield) Februára 17, 2023

Zraniteľnosť bola nájdená v zmluve o výmennom routeri. Útočník okamžite začal prať finančné prostriedky prostredníctvom mixéra Tornado Cash (TORN). Podľa prvej pitvy zverejnenej pred niekoľkými minútami sa skutočná veľkosť strát ešte musí vypočítať:

To umožnilo hackerovi ukradnúť finančné prostriedky z akejkoľvek peňaženky, ktorá mala schválenie nevyčerpaných výdavkov na zmluvu.

V súčasnosti tím pracuje na pláne obnovy. Všetky zmluvy sú pozastavené. Včera tím vyzval všetkých používateľov, aby migrovali na novú verziu inteligentnej zmluvy.

Tiež Platypus, decentralizovaný stablecoinový protokol založený na Avalanche, utrpel útokom 8.5 milióna dolárov. Zločincom sa podarilo zorganizovať bleskový pôžičkový útok; USP stablecoin projektu klesol pod 0.5 dolára. V spolupráci s Tether Limited sa tímu podarilo zmraziť prostriedky na útočníkovom USDT účte.

ZachXBT prichádza na pomoc: Útočníka Platypus možno nájsť

Práve teraz tím rokuje s Binance a Circle o uzamknutí zvyšku koristi útočníkov.

Skúsený výskumník kryptomien ZachXBT pomáha tímu DeFi pri získavaní finančných prostriedkov. Tvrdil, že objavil účet útočníka na Twitteri. Útočník môže používať doménu retlqw.eth ENS.

Hi @retlqw pretože ste deaktivovali svoj účet potom, čo som vám poslal správu.

Vysledoval som adresy späť k vášmu účtu z @Platypusdefi exploit a som v kontakte s ich tímom a výmenami.

Predtým, ako sa spojíme s orgánmi činnými v trestnom konaní, by sme radi rokovali o vrátení finančných prostriedkov. pic.twitter.com/oJdAc9IIkD

— ZachXBT (@zachxbt) Februára 17, 2023

Po tomto vyhlásení retlqw.eth deaktivoval svoje účty na Twitteri aj Instagrame. ZachXBT mu však v mene tímu Platypus dokázal ponúknuť odmenu za chyby.