• Token SONNE společnosti Sonne Finance se propadl o 60 % na 2,5 centu poté, co hack odčerpal 20 milionů dolarů z protokolu o decentralizovaných půjčkách.

  • Vykořisťovatelé použili „darovací“ útok k manipulaci trhů. K incidentu došlo na blockchainové verzi Optimism; verze Base blockchain nebyla ovlivněna.

  • K zneužití došlo poté, co protokol přidal trhy tokenů pro VELO společnosti Velodrome Finance. Útočník využil dvoudenní časový blok k provedení čtyř transakcí, vytvoření trhů a přidání faktorů zajištění.

Token SONNE společnosti Sonne Finance se propadl poté, co vývojáři uznali hack, který ve středu brzy odčerpal 20 milionů dolarů z protokolu o decentralizovaných půjčkách.

SONNE klesl o 60 % na 2,5 centu, což je nejnižší úroveň za více než rok, čímž se tržní kapitalizace snížila na 20 milionů dolarů, a to i poté, co vývojáři řekli, že byli schopni zastavit odčerpávání 6,5 milionů dolarů, jakmile si uvědomili, že k útoku dochází.

Vykořisťovatelé využili „dárcovského“ útoku k manipulaci s určitými trhy nabízenými platformou a ukradli různé tokeny, než byli vyrušeni. K incidentu došlo na platformě Sonne na blockchainu Optimism. Základní verze blockchainu nebyla ovlivněna. (Přemýšlejte o tom jako o mobilní aplikaci, která je hacknuta na Apple iOS, ale zůstává bezpečná na Androidu.)

Jak jsme dnes použili 100 $, abychom zabránili hacknutí více než 6,5 milionu $ v incidentu @SonneFinance 🧵🧵 pic.twitter.com/wAzXciJe0x

— Tony KΞ (@tonyke_bot) 15. května 2024

Jak se stalo zneužití

K zneužití došlo poté, co protokol přidal trhy tokenů pro VELO společnosti Velodrome Finance na základě nedávného návrhu komunity. Útočník využil dvoudenní časový blok k provedení čtyř transakcí, které zahrnovaly vytvoření trhů a přidání faktorů zajištění.

Smlouva s časovým zámkem je chytrá smlouva vložená do blockchainu, která provádí transakci v určitou dobu, v tomto případě dva dny po jejím uzamčení.

Útočník prováděl transakce darováním velkého množství kryptoměny, aby manipuloval směnným kurzem mezi dvěma tokeny. To platformu účinně oklamalo, aby uvěřila, že má více zajištění, než bylo skutečně k dispozici.

Data blockchainu ukazují, že útočníkovi se po manipulaci podařilo převést miliony VELO, etheru a USD Coin (USDC). Později to převedli na 8 milionů dolarů v bitcoinech a etheru a převedli prostředky na novou adresu peněženky v časných evropských hodinách.

#PeckShieldAlert @SonneFinance adresa označená zneužitím převedla kryptoměny v hodnotě 7,8 milionů $, včetně 100 $ WBTC & 556,1 $ ETH, na novou adresu 0x6277...4c07#Optimismpic.twitter.com/g4oiP5akr4

— PeckShieldAlert (@PeckShieldAlert) 15. května 2024

Protokol se dříve podobným problémům vyhýbal přidáváním trhů s nulovými faktory zajištění, ručním přidáváním kolaterálu a jeho trvalým odstraňováním, než kdokoli mohl s trhem manipulovat.

Ve zprávě o exploitu vývojáři uvedli, že pracují na získání ukradených finančních prostředků a vypsali odměnu pro hackera.