Хакер NFT несие беруші Omni-ден 1.4 миллион долларлық ETH аударады

Жексенбіде несиені қайтару шабуылынан Omni ақша нарығының платформасы (NFT) 1,300 ETH (1.43 миллион доллар) жойылды. сәйкес PeckShield үшін.

Omni пайдаланушыларға эфир (ETH) сияқты таңбалауыштарды алу үшін әдетте Bored Ape Yacht Club сияқты танымал коллекциялардан өз NFT-терін қоюға мүмкіндік береді. 

Бүгінгі шабуыл хакердің Omni протоколындағы қайта кіру осалдығын пайдаланғанын көрді. Reentrancy - Solidity бағдарламасымен кодталған жобалардағы белгілі осалдық, ол жалған актерге өзінің ақылды келісімшартын сенімсіз келісім-шартқа сыртқы қоңырау шалуға мәжбүрлеуге мүмкіндік береді. Бұл сыртқы шақыру бастапқы функциядан бұрын орындалады және осылайша оның өтімділігін ағызу үшін хаттамаға қайта-қайта енгізу үшін пайдаланылуы мүмкін.

BlockSec blockchain қауіпсіздік компаниясының бас директоры Яджин Чжоу The Block-қа эксплуатация процесін түсіндіріп, шабуылдаушы Doodles деп аталатын коллекциядан NFT-терді депозитке салғанын айтты. Бұл NFTs оралған ETH (WETH) қарызға кепілдік ретінде пайдаланылды.

Содан кейін шабуылдаушы кепіл ретінде сақталған NFT-тердің біреуін қоспағанда, барлығын қайтарып алу арқылы қайта кіру осалдығын пайдаланды. Бұл әрекет іске қосылды зиянкестің пайдасына кері шақыру функциясы. Бұл функция хакерге қарыз позициясын жоймас бұрын одан да көп Doodle сатып алу үшін қарыз қаражатын пайдалануға мүмкіндік берді.

Позиция жойылғаннан кейін бастапқы кепілден қалған Doodle NFT шабуылдаушыға қайтарылады. Қарыз позициясы жойылды, себебі кері шақыру функциясы іске қосылғанға дейін бастапқыда кепіл ретінде қалдырылған NFT құны борыштық позицияны жабу үшін жеткіліксіз болды. Бұл жерде қайта кіру басталады, өйткені шабуылдаушы жою басталғанға дейін қосымша NFT сатып алу үшін қарызға алынған WETH арқылы мәжбүрлей алады.

Содан кейін шабуылдаушы WETH-ті көбірек қарызға алу үшін бастапқы несиемен алынған Doodles-ді кепілдік ретінде пайдаланды. Алайда Omni бұл жаңа қарыз позициясын мойындамады, сондықтан хакер несиені қайтармай-ақ NFT-ті алып тастай алады.

Шабуыл хаттамадан 1,300-ден астам WETH (1.4 миллион доллар) жұмсады. Omni эксплуаттың ешбір тұтынушы қорына әсер етпейтінін айтты, өйткені платформа әлі де бета тестілеу режимінде болғандықтан, тек ішкі тестілеу қорлары әсер етті.

NFT ақша нарығы платформасы толық тергеуді күткенге дейін хаттаманы тоқтатқанын айтты. Etherscan деректері эксплуататордың Ethereum-дағы жеке транзакциялар үшін монеталарды араластыру қызметі Tornado Cash арқылы қаражатты жылыстағанын көрсетеді.

© 2022 Block Crypto, Inc. Барлық құқықтар қорғалған. Бұл мақала тек ақпараттық мақсатта берілген. Ол заңдық, салықтық, инвестициялық, қаржылық немесе басқа кеңестер ретінде ұсынылмайды немесе пайдалануға арналмаған.