Orion Protocol – un agregator de lichidități atât pentru bursele CeFi, cât și pentru DeFi – și-a fost piratat joi contractul de bază în ambele implementări Ethereum și Binance Smart Chains (BSC).
Hackerul a obținut peste 1700 de ETH, în valoare cumulativă de peste 3 milioane de dolari la momentul scrierii.
Un alt hack de reintrare
După cum a explicat pe Twitter compania de securitate blockchain PeckShield, hack-ul de joi a fost posibil „din cauza protecției incomplete la reintrare”. O eroare de reintrare se referă la momentul în care un atacator poate retrage fonduri în mod repetat dintr-un contract inteligent fără costuri.
PeckShield a explicat că funcția swapThroughOrionPool permite oricui cu jetoane create să deturneze transferul pentru a reintra în funcția de depozit. Acest lucru le permite utilizatorilor să-și mărească soldul fără niciun cost real al fondurilor.
În acest caz, hackerul a folosit un token nou construit numit ATK și un contract inteligent care se autodistruge, pentru a manipula pool-urile lui Orion.
4/ Hackul este început mai întâi pe BSC cu fondul inițial de 0,4 BNB de la @TornadoCash. Hackul ETH atrage un fond inițial de 0,4 ETH de la @SimpleSwap_io. După hack, câștigul de 1100 ETH este depus în @TornadoCash și alți 657 ETH rămân în contul hackerului: https://t.co/wGG6RA0qii pic.twitter.com/lRj9HGEgQc
— PeckShield Inc. (@peckshield) 3 februarie 2023
Alexey Koloskov, CEO-ul Orion, a publicat un thread în care explică exploitul la scurt timp după ce a avut loc.
„Avem motive să credem că problema nu a fost rezultatul unor deficiențe în codul protocolului nostru de bază, ci mai degrabă ar fi fost cauzată de o vulnerabilitate în amestecarea bibliotecilor terțe într-unul dintre contractele inteligente utilizate de brokerii noștri experimentali și privați. ," el a spus.
Koloskov a remarcat că contractul exploatat nu a fost de importanță majoră pentru public, ci a fost folosit în principal de unul dintre brokerii săi experimentali cu trezoreria companiei. Fondurile utilizatorilor, a spus el, sunt 100% sigure.
Cu toate acestea, funcția de depozit a lui Orion a fost închisă și nu va fi redeschisă până când eroarea este corectată și nu au avut loc audituri adecvate.
DeFi Honeypot
Banii furați prin hack-uri DeFi cresc de-a lungul timpului: în 2022, au fost furați 3,8 miliarde de dolari, cu 1,7 miliarde de dolari în cripto, luate doar de hackerii nord-coreeni.
O mare parte din acești bani au fost preluați de grupul nord-coreean Lazarus, despre care se suspectează că a executat hack-ul de 100 de milioane de dolari a podului Harmony în iunie.
Unele dintre cele mai profitabile ținte pentru hack-urile criptografice au fost podurile blockchain – unde sunt stocate criptomonedele care susțin variantele lor tokenizate care circulă pe alte blockchain-uri.
În octombrie, Binance Smart Chain (BSC) a fost întrerupt de validatori după ce un hacker a bătut 2 milioane de BNB (în valoare de 600 de milioane de dolari la acea vreme) din aer prin exploatarea podului blockchain. O mare parte din BNB a fost dusă rapid către alte lanțuri după aceea.
Postarea Protocolul Orion piratat pentru 3 milioane de dolari prin atacul de reintrare a apărut prima dată pe CryptoPotato.
