Приложение для кредитования Era Lend на платформе zkSync подверглось атаке, в результате которой было выведено криптовалюты на сумму 3,4 млн долларов, говорится в отчете компании CertiK, специализирующейся на безопасности блокчейна, от 25 июля. Для вывода средств злоумышленник использовал "атаку с реентерацией только на чтение", которая представляет собой тип атаки, прерывающей многоэтапный процесс и заставляющей его продолжить работу после выполнения вредоносного действия. В частности, реентерация "только для чтения" - это атака, которая не обновляет состояние контракта.

#CertiKSkynetAlert

Поступают сообщения о том, что @Era_Lend подвергся эксплуатации на zkSync

Суммарные потери составляют 3,4 млн. долл. при атаке с ретрансляцией только на чтение

Подробнее см. ниже https://t.co/h8xrjccE5i

- CertiK Alert (@CertiKAlert) 25 июля 2023 г.

Согласно отчету, злоумышленник вывел средства в двух отдельных транзакциях, используя счет 0xf1D076c9Be4533086f967e14EE6aFf204D5ECE7a, принадлежащий внешнему владельцу. Используя уязвимость в "функции обратного вызова и _updateReserves", злоумышленники манипулировали контрактом, заставляя его сообщать старые значения, которые еще не были обновлены.

Era Lend является форком проекта Syncswap, и CertiK утверждает, что другие проекты, основанные на Syncswap, также могут быть уязвимы для эксплойта.

Искатель цепочек и пользователь Twitter Spreek сообщил, что код Syncswap позволяет пользователю "сжечь, а затем выполнить обратный вызов до вызова update_reserves", в результате чего оракул выдает неверные значения.

В токенах syncswap LP можно сжечь, а затем выполнить callback до вызова update_reserves. таким образом, оракул использует неверное значение резервов для расчета цены, что приводит к завышению цены оракула. pic.twitter.com/0U7Vu7BzJM

- Spreek (@spreekaway) 25 июля 2023 г.

Компания Spreek также сообщила, что команда Era Lend признала факт атаки и приостановила работу контрактов протокола zkSync для предотвращения дальнейших эксплойтов.

Другой блокчейн-исследователь, известный в Twitter под ником Saul, сообщил, что атаке подвергся стейблкоин USDC+, выпускаемый по протоколу Overnight Finance. По словам Сола, команда Overnight признала факт атаки и приостановила исполнение своих контрактов. Возможно, было потеряно более 261 000 долларов США, или 7,86% от общей стоимости залога, обеспечивающего стабильные монеты.

Псевдонимный блокчейн-исследователь Officer`s Notes в своем блоге от 7 июня, объясняя, как осуществляются атаки на реентерабельность только для чтения, заявил, что аудиторам трудно обнаружить эти уязвимости, поскольку "как правило, аудиторы и охотники за ошибками при поиске реентерабельности обращают внимание только на точки входа, изменяющие состояние".

Чтобы снять эту проблему, компания Officer`s Notes рекомендует аудиторам использовать специализированное программное обеспечение для поиска таких уязвимостей.

Era Lend работает в сети zkSync - роллапе Ethereum второго уровня с нулевым доказательством знаний. В апреле общая стоимость блокировки сети достигла более 110 млн долл. Разработчики сети намерены к концу года создать экосистему взаимодействующих цепочек под названием "Hyperchains".

Источник