Orion протоколы қайта кіру шабуылы арқылы 3 миллион долларға бұзылды

Orion Protocol – CeFi және DeFi биржалары үшін өтімділік агрегаторы – бейсенбіде Ethereum және Binance Smart Chains (BSC) орналастыруларында өзінің негізгі келісімшартының бұзылғанын көрді. 

Хакер жазу кезінде жалпы құны 1700 миллион доллардан асатын 3 ETH жинады. 

Тағы бір Reentrancy Hack

As түсіндірді PeckShield блокчейндік қауіпсіздік компаниясы Twitter-де бейсенбі күнгі бұзу «қайта кіруден қорғаудың толық болмауына байланысты» мүмкін болды. Қайта кіру қатесі шабуылдаушы ақылды келісім-шарттан ақшаны ақысыз қайта-қайта алу мүмкіндігін білдіреді. 

PeckShield swapThroughOrionPool функциясы жасалған таңбалауыштары бар кез келген адамға депозиттік актив функциясына қайта кіру үшін аударымын ұрлауға мүмкіндік беретінін әзірледі. Бұл пайдаланушыларға қаражаттың нақты құнынсыз теңгерімдерін арттыруға мүмкіндік береді. 

Бұл жағдайда хакер Orion бассейндерін басқару үшін ATK деп аталатын жаңадан жасалған таңбалауышты және өзін-өзі жоюға болатын смарт келісімшартты пайдаланды. 

4/ Бұзушылық алдымен BSC-де басталады/ бастапқы қор 0.4 BNB бастап @TornadoCash. ETH бұзу бастапқы қорды 0.4 ETH тартады @SimpleSwap_io. Бұзылғаннан кейін 1100 ETH кірісі сақталады @TornadoCash және басқа 657 ETH хакердің шотында қалады: https://t.co/wGG6RA0qii pic.twitter.com/lRj9HGEgQc

- PeckShield Inc. (@peckshield) Ақпан 3, 2023

Орион бас директоры Алексей Колосков а жіп пайда болғаннан кейін көп ұзамай эксплуатацияны түсіндіреді. 

«Мәселе біздің негізгі хаттамалық кодымыздағы кемшіліктердің салдары емес, тәжірибелік және жеке брокерлеріміз пайдаланатын смарт келісімшарттардың бірінде үшінші тарап кітапханаларын араластыру осалдығынан туындаған болуы мүмкін деуге негіз бар. ,« ол айтты. 

Колосков пайдаланылған келісім-шарт халық үшін маңызды емес екенін, бірақ оны негізінен компанияның қазынасымен тәжірибелік брокерлерінің бірі пайдаланғанын атап өтті. Оның айтуынша, пайдаланушы қаражаты 100% қауіпсіз. 

Соған қарамастан, Orion депозиті функциясы жабылды және қате түзетіліп, тиісті тексерулер жүргізілмейінше қайта ашылмайды. 

DeFi бал құмырасы

DeFi хакерлері арқылы ұрланған ақша уақыт өте өсуде: 2022 жылы 3.8 миллиард доллар ұрланды, оның ішінде 1.7 миллиард доллар криптовалюта. қабылданды Солтүстік Кореяның хакерлері ғана. 

Бұл ақшаның көп бөлігін Солтүстік Кореяның Лазарус тобы алды, яғни күдікті маусым айында 100 миллион долларлық Гармония көпірін бұзуды орындады. 

Криптовалюталардың басқа блокчейндерде айналымдағы токенизацияланған нұсқаларын қолдайтын криптовалюталар сақталатын блокчейн көпірлері криптовалюталарды бұзудың ең табысты мақсаттарының бірі болды.

 Қазан айында Binance Smart Chain (BSC) валидаторлармен кідіртілді, хакер блокчейн көпірін пайдалану арқылы 2 миллион BNB (сол кездегі құны 600 миллион доллар) жұқа ауадан шығарды. BNB-нің көп бөлігі тез болды сығып кетті кейінгі басқа тізбектерге.