Платформа децентрализованного финансирования (DeFi) Fei Protocol предложила хакерам вознаграждение в размере 10 миллионов долларов за попытку договориться и вернуть большую часть украденных средств из различных пулов Rari Fuse на сумму 79 348 385,61 долларов или почти 80 миллионов долларов.

30 апреля Fei Protocol проинформировал своих инвесторов об эксплойте в многочисленных пулах Rari Capital Fuse, попросив хакеров вернуть украденные средства в обмен на вознаграждение в размере 10 миллионов долларов и обязательство «без вопросов».

Нам известно об эксплойте в различных пулах Rari Fuse. Мы определили основную причину и приостановили все заимствования, чтобы смягчить дальнейший ущерб.

Эксплуататору: пожалуйста, примите вознаграждение в размере 10 миллионов долларов и не задавайте вопросов, если вы вернете оставшиеся средства пользователя.

— Протокол Фэй (@feiprotocol) 30 апреля 2022 г.

Хотя точные данные об убытках от эксплойта официально не сообщались, система мониторинга BlockSec, занимающаяся расследованием DeFi, обнаружила убыток в размере более 80 миллионов долларов, указав основной причиной типичную уязвимость повторного входа. Хотя ошибки повторного входа были главной причиной многих эксплойтов в экосистеме DeFi, добыча в размере 80 миллионов долларов делает протокол Fei одним из крупнейших взломов повторного входа за всю историю.

Поток вызовов. Источник: БлокСек
Поток вызовов. Источник: БлокСек

После дальнейших расследований разработчик Rari Джек Лонгарзо обнаружил в общей сложности шесть уязвимых пулов (8, 18, 27, 127, 144, 146, 156), которые были временно приостановлены, пока идет внутреннее исправление. На момент написания статьи внутренние и внешние инженеры по безопасности Rari сотрудничали с поставщиком услуг DeFi Compound Treasury для дальнейшего расследования и нейтрализации взлома.

Предоставляя дополнительную информацию о разработке, исследователь блокчейна PeckShield сузил эксплойт до ошибки повторного входа, которая позволяет хакерам использовать функцию и совершать внешние вызовы к другому ненадежному контракту.

Старая ошибка повторного входа снова проявляется на форках Compound с убытком в 80 миллионов долларов! На этот раз он повторно входит через exitMarket()!!! https://t.co/NpC8AAZRXc

Осторожно, все разветвления Compound в цепочках, совместимых с EVM. Свяжитесь со своими аудиторами сейчас или не стесняйтесь обращаться к нам, если мы можем чем-то помочь pic.Twitter.com/M9JElTWMSd

— PeckShield Inc. (@peckshield) 30 апреля 2022 г.

Рейтинговая платформа CertiK, ориентированная на безопасность, сообщила Cointelegraph, что злоумышленник отправил 5400 эфиров (ETH) (~ 15 298 900 долларов США) на Tornado Cash и по-прежнему держит 64 245 245,43 долларов США (22 672,97 ETH) в своем кошельке. Атака истощила средства из пула Rari, в то время как пулы Fei (Tribe, Curve) остались незатронутыми.

В прошлом году, 8 мая 2021 года, Rari Capital стала жертвой дорогостоящего эксплойта, связанного с интеграцией с Alpha Venture DAO (ранее Alpha Finance Lab). На момент составления отчета не было официальных заявлений от команды Fei Protocol о результатах их расследования.

По мере того, как криптосообщество ведет постоянно развивающуюся борьбу с хакерами, многочисленные проекты и протоколы решили усилить свои меры безопасности. 28 апреля Ronin Network и Sky Mavis объявили о планах по обновлению своих смарт-контрактов после взлома на 600 миллионов долларов в предыдущем месяце.

Мы подготовили вскрытие эксплойта Ронина, произошедшего 23 марта.

• Почему это произошло
• Что вы делаете, чтобы это никогда не повторилось
• Обновление о повторном открытии моста Ронин https://t.co/FfwCtCG84E.

— Ронин (@Ronin_Network) 27 апреля 2022 г.

Федеральное бюро расследований (ФБР) приписало атаку находящейся в Северной Корее и спонсируемой государством хакерской группе Lazurus, поскольку она направила предупреждение другим крипто- и блокчейн-организациям.

Источник