Выдающаяся безопасная фирма блокчейна Peckshield сообщила об эксплойте с участием GMX Децентрализованный обмен (DEX), который привлек внимание к уязвимости в экосистеме абракадабра (заклинания).

Инцидент, привязанный к котлам Абракадабра - интеллектуальные контракты, которые облегчают операции DeFi, такие как кредитование, заимствование и положение ликвидности, - привел к краже приблизительно 6 260 Ethereum, стоимостью примерно 13 миллионов долларов.

GMX гарантирует, что контракты остаются безопасными

В то время как атака привлекла значительное внимание, GMX быстро уточнил, что его контракты не были скомпрометированы. Фактически, проблема была ограничена интеграцией между GMX V2 и котлами Abracadabra, в которых используются пулы ликвидности GMX для своих операций. Команда заверила сообщество, что на него не влияет инцидент, и подтвердила, что в собственных интеллектуальных контрактах GMX не было обнаружено никаких уязвимостей.

Команда также объяснила, что команда Abracadabra, наряду с исследователями внешней безопасности, активно изучала нарушение, чтобы определить его причину и предотвратить будущие инциденты. Этот инцидент особенно заслуживает внимания, поскольку подчеркивает постоянные проблемы безопасности в более широкой экосистеме DEFI.

Это также следует за предыдущим нарушением безопасности в январе 2024 года, когда Stablecoin Abracadabra Magic Internet Money (MIM) была эксплуатирована из -за недостатка в его умном контракте. Эксплойт привел к потере 6,49 миллиона долларов.

Флэш -кредитная атака

Исследователь Crypto Weilin (Уильям) Ли заявил, что контракт Cauldronv4 позволяет пользователям выполнять несколько действий, а проверка платежеспособности происходит в конце процесса. В этом случае злоумышленник выполнил семь действий, пять из которых включали в себя заимствование Stablecoin Magic Money Money (MIM), а затем позвонив по контракту на атаку и инициированием ликвидации.

Первоначальный анализ LI показывает, что первое действие, заимствование MIM, уже увеличило долг злоумышленника, что делает возможным ликвидацию (действие 31). Эта ликвидация, однако, была подозрительно выполнена в состоянии флэш -кредита, где заемщик не имел залога.

Он также указал, что злоумышленник получил выгоду от ликвидационных стимулов и использовал тот факт, что проверка платежеспособности произошла только после завершения всех действий, что позволило злоумышленнику обойти защиту системы.

Источник