Dua Avalanche (AVAX) DeFi Diretas dalam Satu Hari

Hari ini, 17 Februari 2023, dua protokol keuangan terdesentralisasi (DeFi) di blockchain Avalanche (AVAX) diserang oleh penjahat. Sepertinya peneliti on-chain berhasil menemukan setidaknya satu peretas.

Suatu hari, dua serangan

Sekitar pukul 11:05 UTC, perusahaan keamanan cryptocurrency PeckShield memposting peringatan tentang kemungkinan peretasan DeFi. Dexible, protokol DeFi perdagangan algoritmik multi-blockchain yang memiliki versi Ethereum (ETH), Avalanche (AVAX), Poly Network (POLY), BNB Chain (BSC) dan seterusnya, kehilangan lebih dari $1.5 juta karena kerentanan dalam basis kodenya.

Hi @DexibleApp, Anda mungkin perlu meminta pengguna untuk mencabut tunjangan! (Kerugiannya sudah >$1.5 juta). Ini satu hack tx: https://t.co/A076AeXsPz pic.twitter.com/HRQ8MBTSGm

- PeckShield Inc. (@peckshield) Februari 17, 2023

Kerentanan ditemukan dalam kontrak router swap. Penyerang segera mulai mencuci dana melalui mixer Tornado Cash (TORN). Per post-mortem pertama yang dirilis beberapa menit yang lalu, ukuran kerugian sebenarnya belum dihitung:

Ini memungkinkan peretas untuk mencuri dana dari dompet mana pun yang memiliki persetujuan pengeluaran yang tidak terpakai pada kontrak.

Saat ini, tim sedang mengerjakan rencana pemulihan. Semua kontrak dijeda. Kemarin, tim mengundang semua pengguna untuk bermigrasi ke kontrak pintar versi baru.

Selain itu, Platypus, protokol stablecoin terdesentralisasi berbasis Avalanche, mengalami serangan senilai $8.5 juta. Malefactors berhasil mengatur serangan flash loan; stablecoin USP proyek turun di bawah $0.5. Bekerja sama dengan Tether Limited, tim berhasil membekukan dana di akun USDT penyerang.

ZachXBT datang untuk menyelamatkan: Penyerang Platipus mungkin ditemukan

Saat ini, tim sedang dalam pembicaraan dengan Binance dan Circle untuk mengunci sisa rampasan penyerang.

Peneliti cryptocurrency berpengalaman ZachXBT membantu tim DeFi memulihkan dana. Dia mengklaim bahwa dia menemukan akun Twitter penyerang. Penyerang mungkin menggunakan domain retlqw.eth ENS.

Hi @retlqw karena Anda menonaktifkan akun Anda setelah saya mengirimi Anda pesan.

Saya telah menelusuri alamat kembali ke akun Anda dari @Platipusdefi mengeksploitasi dan saya berhubungan dengan tim dan pertukaran mereka.

Kami ingin merundingkan pengembalian dana sebelum kami berurusan dengan penegak hukum. pic.twitter.com/oJdAc9IIkD

— ZachXBT (@zachxbt) Februari 17, 2023

Mengikuti pernyataan ini, retlqw.eth menonaktifkan akun Twitter dan Instagramnya. Namun, ZachXBT berhasil menawarkan hadiah bug atas nama tim Platipus.