Dva Avalanche (AVAX) DeFis hacknutý za jeden den

Dnes, 17. února 2023, byly dva protokoly decentralizovaného financování (DeFi) na blockchainu Avalanche (AVAX) napadeny zločinci. Vypadá to, že se výzkumníkům v řetězci podařilo najít alespoň jednoho hackera.

Jeden den, dva útoky

Kolem 11:05 UTC společnost PeckShield pro zabezpečení kryptoměn zveřejnila varování o možném hacknutí DeFi. Dexible, multi-blockchainový algoritmický obchodní protokol DeFi, který má verze pro Ethereum (ETH), Avalanche (AVAX), Poly Network (POLY), BNB Chain (BSC) a tak dále, ztratil více než 1.5 milionu $ kvůli zranitelnosti ve své kódové základně.

Hi @DexibleApp, možná budete muset požádat uživatele o zrušení příspěvku! (Ztráta je již > 1.5 milionu $). Zde je jeden hack tx: https://t.co/A076AeXsPz pic.twitter.com/HRQ8MBTSGm

- PeckShield Inc. (@peckshield) Února 17, 2023

Chyba zabezpečení byla nalezena ve smlouvě swap router. Útočník okamžitě začal prát peníze prostřednictvím mixéru Tornado Cash (TORN). Podle první pitvy zveřejněné před několika minutami se skutečná velikost ztrát teprve musí vypočítat:

To umožnilo hackerovi ukrást finanční prostředky z jakékoli peněženky, která měla schválení smlouvy o nevyčerpané útratě.

Právě teď tým pracuje na plánu obnovy. Všechny smlouvy jsou pozastaveny. Včera tým vyzval všechny uživatele k migraci na novou verzi chytré smlouvy.

Také Platypus, decentralizovaný stablecoinový protokol založený na Avalanche, utrpěl útokem za 8.5 milionu dolarů. Zločincům se podařilo zorganizovat bleskový úvěrový útok; USP stablecoin projektu klesl pod 0.5 dolaru. Ve spolupráci s Tether Limited se týmu podařilo zmrazit prostředky na útočníkově USDT účtu.

ZachXBT přichází na pomoc: Útočník Platypus může být nalezen

Právě teď tým jedná s Binance a Circle o zamknutí zbytku kořisti útočníků.

Zkušený výzkumník kryptoměn ZachXBT pomáhá týmu DeFi při získávání finančních prostředků. Tvrdil, že objevil twitterový účet útočníka. Útočník může používat doménu retlqw.eth ENS.

Hi @retlqw protože jste deaktivovali svůj účet poté, co jsem vám poslal zprávu.

Vysledoval jsem adresy zpět k vašemu účtu z @Platypusdefi exploit a jsem v kontaktu s jejich týmem a výměnami.

Než se spojíme s orgány činnými v trestním řízení, rádi bychom vyjednali vrácení finančních prostředků. pic.twitter.com/oJdAc9IIkD

— ZachXBT (@zachxbt) Února 17, 2023

Po tomto prohlášení retlqw.eth deaktivoval své účty na Twitteru i Instagramu. ZachXBT mu však dokázal nabídnout odměnu za chyby jménem týmu Platypus.