Pada tanggal 15 Maret, seorang penyerang tersedot lebih dari $11 juta dari dua Defi platform, Agave dan Seratus Keuangan. Tampaknya itu adalah 'serangan masuk kembali' pinjaman kilat pada kedua protokol di rantai gnosis sesuai penyelidikan. Demikian juga, platform menghentikan kontrak mereka untuk mencegah kerusakan lebih lanjut.
Menilai kerusakan
Pengembang soliditas dan pencipta NFT aplikasi protokol likuiditas, Shegen memilih untuk menyoroti peretasan dalam serangkaian tweet pada 16 Maret. Anehnya, analisis ini muncul setelah entitas yang disebutkan di atas kehilangan $225,000 dalam eksploitasi yang sama.
Sudah ada beberapa utas bagus (dan beberapa utas buruk yang berbicara terlalu cepat) di @Agave_lending dan @HundredFinance hack hari ini.
Inilah analisis & refleksi saya, setelah baru saja kehilangan lebih dari $225k dari eksploitasi, dan menjelajahi apa yang terjadi?
— Shegen (@shegenerates) 15 Maret, 2022
Investigasi awalnya mengungkapkan serangan itu berhasil dengan mengeksploitasi fungsi kontrak wETH di Gnosis Chain. Itu memungkinkan penyerang untuk terus meminjam crypto sebelum aplikasi dapat menghitung hutang, yang akan mencegah peminjaman lebih lanjut. Ergo, pelakunya melakukan eksploitasi tersebut dengan meminjam dengan jaminan yang sama yang mereka pasang sampai dana terkuras dari protokol.
Lebih buruk lagi, dana itu tidak aman. 'Mereka hampir pergi selamanya, tapi masih ada harapan,' dia menambahkan. Konon, pendiri Gnosis, Martin Koppelmann melakukan tweet untuk memberikan kepastian di tengah kekacauan. Koppelmann menegaskan,
tidak bisa membuat janji, dan pertama-tama kita harus benar-benar memahami apa yang terjadi. Tetapi saya biasanya akan mendukung proposal GnosisDAO yang akan mencoba mencegah pengguna kehilangan dana dengan misalnya meminjam dana/ menginvestasikan dana ke @Agave_lending
—Martin Köppelmann ?? (@koeppelmann) 15 Maret, 2022
Setelah beberapa penelitian lebih lanjut, penyerang diduga menyebarkan kontrak ini dengan 3 fungsi; Di blok 21120283 dan 21120284, peretas menggunakan kontrak untuk berinteraksi dengan protokol yang terpengaruh, Agave secara langsung. Kontrak pintar di Agave pada dasarnya sama dengan Aave, yang mengamankan $ 18.4 miliar.
Karena tidak ada eksploitasi yang dilaporkan di HANTU, bagaimana Agave bisa terkuras? Nah, ini dia ringkasan tentang bagaimana itu digunakan dengan cara yang tidak aman "secara tidak sengaja".
Kontrak weth dikerahkan pertama kali seseorang pindah weth ke GC. Setiap kali Anda membawa token baru melalui jembatan, kontrak token baru dibuat untuknya.
Fungsi callAfterTransfer membantu mencegah Anda mengirim token langsung ke bridge dan kehilangannya selamanya pic.twitter.com/ZiAZAcTtSI
— Shegen (@shegenerates) 15 Maret, 2022
Peretas tersebut dapat meminjam lebih dari jaminan mereka di agave. Dengan demikian, berjalan pergi dengan semua aset yang dapat dipinjam.
Sumber: Twitter
Aset yang dipinjam terdiri dari 2,728.9 WETH, 243,423 USDC, 24,563 LINK, 16.76 WBTC, 8,400 GNO, dan 347,787 WXDAI. Secara keseluruhan, peretas menghasilkan sekitar $ 11 juta.
Meskipun demikian, Shegen tidak menyalahkan pengembang Agave karena gagal mencegah serangan tersebut. Dia mengatakan, para pengembang menjalankan kode berbasis AAVE yang aman dan aman. Meskipun bekas dengan token yang tidak aman, dengan cara yang tidak aman.
“Semua protokol DeFi di GC harus menukar token yang ada dengan yang baru,” pungkasnya.
Peneliti keamanan Blockchain Mudit Gupta yg diulangi penyebab serupa di balik eksploitasi.
Agave dan Hundred Finance dieksploitasi hari ini di rantai Gnosis (sebelumnya xDAI).
Alasan yang mendasari peretasan adalah bahwa token resmi yang dijembatani di Gnosis tidak standar dan memiliki pengait yang memanggil penerima token pada setiap transfer. Hal ini memungkinkan serangan reentrancy. pic.twitter.com/8MU8Pi9RQT
- Mudit Gupta (@Mudit__Gupta) 15 Maret, 2022
Sumber: https://ambcrypto.com/how-these-two-defi-protocols-fell-prey-to-11-million-reentrancy-attack/