LI.FI Protocol Loses $10m in Second Hack Due to Same Old Bug

Cryptopolitan · 2024-07-16T17:53:01.000Z

Cross-chain trading protocol LI.FI has been hit by “a call injection attack,” security platform, Beosin Alert, reported on Tuesday. About $10 million in crypto assets, including 6.3M USDT, 3.2M USDC, and 169k DAI, have been stolen from the protocol. Also read: Kraken reveals bug allowed rogue ‘security researchers’ to exploit $3M LI.FI co-founder Philipp Zentner confirmed the incident on X (formerly Twitter), noting that only users who have manually set “infinite approvals” were affected. “Please do not interact with any LI.FI powered applications for now. We’re investigating a potential exploit,” Zentner wrote. LI.FI allegedly hacked via the same old bug The vulnerability was traced to the “depositToGasZipERC20()” function of LI.FI contract. According to Beosin’s analysis, the function can swap specified tokens for platform tokens and deposit them into the GasZip contract, but it fails to restrict the data for the call invocation, which allows the attacker to withdraw assets from users who have approvals to the contract. Elsewhere, another security platform Peckshield reported that LI.FI was also exploited two years ago due to the same vulnerability. “While analyzing today’s LI.FI protocol hack, we noticed an earlier hack on the same protocol on March 20, 2022,” Peckshield posted on X. “The bug is basically the same.” While analyzing today's @lifiprotocol hack, we notice an earlier hack on the same protocol on March 20, 2022. The bug is basically the same. https://t.co/YcuEe4efOT Are we learning anything from the past lesson(s)? https://t.co/nV4IuX7T7j pic.twitter.com/aVB6FQ3MnT — PeckShield Inc. (@peckshield) July 16, 2024 During the 2022 LI.FI protocol hack, about $600,000 in assets were stolen and drained from the protocol, with 29 wallets affected. The team said in a post-mortem report that the bug was fixed, and all the affected users were reimbursed. Also read: 2024 sees nearly $1.4 billion in crypto thefts so far So far, there are no discussions about reimbursing users affected by the latest hack, at least at the time of writing. However, LI.FI posted they are investigating the exploit and advised users not to interact with any LI.FI powered application in the meantime. The incident today comes a little over a year after LI.FI raised $17.5 million in a Series A funding round to enable DeFi users to trade across different blockchains, venues, and bridges. It claims to have facilitated over $10 billion in total transfer volume.

O protocolo de negociação entre cadeias LI.FI foi atingido por “um ataque de injeção de chamada”, informou a plataforma de segurança Beosin Alert na terça-feira. Cerca de US$ 10 milhões em ativos criptográficos, incluindo 6,3 milhões de USDT, 3,2 milhões de USDC e 169 mil DAI, foram roubados do protocolo. 
Leia também: Kraken revela bug que permitiu que ‘pesquisadores de segurança’ desonestos explorassem US$ 3 milhões
O cofundador do LI.FI, Philipp Zentner, confirmou o incidente no X (antigo Twitter), observando que apenas os usuários que definiram manualmente “aprovações infinitas” foram afetados. “Por favor, não interaja com nenhum aplicativo com tecnologia LI.FI por enquanto. Estamos investigando uma exploração potencial”, escreveu Zentner. 
LI.FI supostamente hackeado através do mesmo bug antigo
A vulnerabilidade foi atribuída à função “depositToGasZipERC20()” do contrato LI.FI. De acordo com a análise de Beosin, a função pode trocar tokens específicos por tokens de plataforma e depositá-los no contrato GasZip, mas não consegue restringir os dados para a invocação da chamada, o que permite ao invasor retirar ativos de usuários que possuem aprovações para o contrato.
Em outro lugar, outra plataforma de segurança, Peckshield, relatou que o LI.FI também foi explorado há dois anos devido à mesma vulnerabilidade. “Ao analisar o hack do protocolo LI.FI de hoje, notamos um hack anterior no mesmo protocolo em 20 de março de 2022”, postou Peckshield no X. “O bug é basicamente o mesmo.”
Ao analisar o hack do @lifiprotocol de hoje, notamos um hack anterior no mesmo protocolo em 20 de março de 2022.
O bug é basicamente o mesmo. https://t.co/YcuEe4efOT
Estamos aprendendo alguma coisa com as lições anteriores? https://t.co/nV4IuX7T7j pic.twitter.com/aVB6FQ3MnT
-PeckShield Inc. (@peckshield) 16 de julho de 2024
Durante o hack do protocolo LI.FI em 2022, cerca de US$ 600.000 em ativos foram roubados e drenados do protocolo, com 29 carteiras afetadas. A equipe disse em um relatório post-mortem que o bug foi corrigido e todos os usuários afetados foram reembolsados. 
Leia também: 2024 registra quase US$ 1,4 bilhão em roubos de criptografia até agora
Até o momento, não há discussões sobre o reembolso dos usuários afetados pelo hack mais recente, pelo menos no momento em que este artigo foi escrito. No entanto, o LI.FI postou que está investigando a exploração e aconselhou os usuários a não interagirem com nenhum aplicativo desenvolvido pelo LI.FI enquanto isso. 
O incidente de hoje ocorre pouco mais de um ano depois que a LI.FI levantou US$ 17,5 milhões em uma rodada de financiamento da Série A para permitir que os usuários do DeFi negociassem em diferentes blockchains, locais e pontes. Afirma ter facilitado mais de US$ 10 bilhões em volume total de transferências.

Explore mais do Criador

Últimas Notícias