Peretas menghabiskan ETH senilai $1.4 juta dari pemberi pinjaman NFT Omni

Omni, platform pasar uang non-fungible token (NFT), menghabiskan sekitar 1,300 ETH ($ 1.43 juta) dalam serangan reentrancy pinjaman kilat pada hari Minggu, menurut ke PeckShield.

Omni memungkinkan pengguna untuk mempertaruhkan NFT mereka, biasanya dari koleksi populer seperti Bored Ape Yacht Club, untuk menerima token seperti ether (ETH). 

Serangan hari ini melihat peretas mengeksploitasi kerentanan reentrancy dalam protokol Omni. Reentrancy adalah kerentanan yang diketahui dalam proyek yang dikodekan dengan Solidity yang memungkinkan aktor jahat memaksa kontrak cerdasnya untuk melakukan panggilan eksternal ke kontrak yang tidak tepercaya. Panggilan eksternal ini dieksekusi sebelum fungsi aslinya dan dengan demikian dapat digunakan untuk memasukkan kembali protokol berulang kali untuk menguras likuiditasnya.

Yajin Zhou, CEO perusahaan keamanan blockchain BlockSec, menjelaskan proses eksploitasi ke The Block, mengatakan bahwa penyerang menyimpan NFT dari koleksi yang disebut Doodles. NFT ini digunakan sebagai jaminan untuk meminjam dibungkus ETH (WETH).

Penyerang kemudian mengeksploitasi kerentanan reentrancy dengan menarik semua kecuali satu dari NFT yang disimpan sebagai jaminan. Aksi ini dipicu fungsi panggilan balik berbahaya untuk kepentingan penyerang. Fungsi ini memungkinkan peretas menggunakan dana pinjaman untuk membeli lebih banyak Doodle sebelum melikuidasi posisi pinjaman.

Setelah posisi dilikuidasi, sisa NFT Doodle dari agunan asli dikembalikan kembali ke penyerang. Posisi pinjaman dilikuidasi karena nilai NFT yang awalnya dibiarkan sebagai jaminan sebelum fungsi panggilan balik dipanggil tidak cukup untuk menutupi posisi utang. Di sinilah reentrancy masuk, karena penyerang dapat memaksa menggunakan WETH yang dipinjam untuk membeli lebih banyak NFT sebelum likuidasi terjadi.

Penyerang kemudian menggunakan Doodle yang diperoleh dengan pinjaman awal sebagai jaminan untuk meminjam lebih banyak WETH. Omni, bagaimanapun, tidak mengenali posisi utang baru ini, sehingga peretas dapat menarik NFT tanpa membayar kembali pinjaman.

Serangan itu menghabiskan lebih dari 1,300 WETH ($ 1.4 juta) dari protokol. Omni mengatakan bahwa eksploitasi tidak mempengaruhi dana pelanggan karena hanya dana pengujian internal yang terpengaruh, karena platform masih dalam mode pengujian beta.

Platform pasar uang NFT mengatakan bahwa mereka telah menghentikan protokol sambil menunggu penyelidikan lengkap. Data dari Etherscan menunjukkan pengeksploitasi telah mencuci dana melalui Tornado Cash, layanan pencampuran koin untuk transaksi pribadi di Ethereum.

© 2022 The Block Crypto, Inc. Semua Hak Dilindungi Undang-Undang. Artikel ini disediakan hanya untuk tujuan informasi. Itu tidak ditawarkan atau dimaksudkan untuk digunakan sebagai nasihat hukum, pajak, investasi, keuangan, atau lainnya.