Exploitul sechestrează 7.8 milioane de dolari în rsETH din portofelul sigur al unui utilizator prin intermediul unui executor de strategie compromis.
Firme de securitate blockchain Blockaid, PeckShield și BlockSec au confirmat o vulnerabilitate care a secat aproximativ 7.8 milioane de dolari în rsETH, adică aproximativ 2,900 de token-uri, dintr-un portofel Gnosis Safe de pe Ethereum. Incidentul a început la ora 04:38 UTC cu o tranzacție care a mutat cea mai mare parte a fondurilor, urmată de mai multe tranzacții mai mici în următoarea oră, însumând aproximativ 160,000 de dolari suplimentari, conform rapoartelor firmelor.
Cauza principală a fost o verificare defectuoasă a autorizației în contractul executorului, identificată de analiști ca fiind adresa 0x4f0055926c839D1d960a82CBF84E2eE933958ebC.
Safe-ul vizat, aparținând unui mare deținător de rsETH cu efect de levier, se baza pe un modul executor de strategii inclus pe lista albă, care expunea un punct de intrare pentru rețete. Acest punct de intrare redirecționa datele de apel furnizate integral de apelant către funcția execTransactionFromModuleReturnData a Safe-ului folosind operation=1 (DELEGATECALL) fără a bloca apelantul extern. Setarea parametrului contract furnizat la adresa proprie a executorului a trecut validarea, ceea ce înseamnă că oricine putea ajunge la punctul de intrare putea executa cod arbitrar în contextul propriu al Safe-ului - obținând efectiv control deplin asupra activelor sale.
Atacatorul a folosit un multicall public keeper pentru a direcționa modulul autorizat Uni V4 LP Safe către un pool Uniswap V4 hooked creat de atacator, executându-se prin Permit2 și PositionManager. Atacatorul implementase un token fără valoare, denumit „Permissionless Attacker Token” (PAT) și furnizase aproximativ 2,900 aEthrsETH ca lichiditate împotriva acestuia. Un hook personalizat în pool a desfăcut aEthrsETH în rsETH și l-a sifonat din Safe, care a rămas conținând un LP fără valoare. NFT.
Atacul front-run al botului MEV; KelpDAO impune o pauză temporară
În mod special, tranzacția inițială de atac nu a ajuns niciodată la beneficiarul țintă. Atacatorul a lansat exploit-ul direct în mempool-ul public, unde a fost condus de un bot MEV numit „yoink”, care a capturat întreaga sumă de ~2,882 rsETH - în valoare de aproximativ 7.8 milioane de dolari - și a direcționat-o către adresa 0xC70f00CD7E461686b04B0E912E309becA8b80ea0. Practic, un bot cu valoare maximă extractibilă, nu atacatorul, a plecat cu fondurile furate.
Ca răspuns, KelpDAO a anunțat că a detectat o activitate suspectă la adresa de destinație și a plasat-o sub o pauză precauțională de 24 de ore, timp în care rsETH nu poate intra sau ieși. Echipa a declarat că lucrează cu experți în securitate la investigație și a subliniat că măsura este valabilă doar la nivel de portofel: contractele Kelp rămân în siguranță, rsETH rămâne complet garantat, iar toate operațiunile de minting, retragere și integrare continuă normal, fără a fi necesară nicio acțiune din partea utilizatorilor.
Analiștii de securitate au subliniat că acesta a fost un abuz de autorizare a modulelor specific unui singur Safe, nu o vulnerabilitate a contractelor de bază sau a cheilor de proprietar ale Safe. Cu toate acestea, incidentul evidențiază un risc persistent pentru utilizatorii portofelelor inteligente cu contracte: nucleul Safe nu a suferit niciodată o exploatare directă a protocolului, dar utilizatorii au pierdut în mod repetat fonduri prin infrastructură compromisă și extensii terțe vulnerabile, inclusiv peste 2 milioane de dolari furați în atacuri de otrăvire a adreselor care au afectat 21 de utilizatori Safe în 2023.
Declinare a responsabilităţii
În conformitate cu Ghidurile proiectului Trust, vă rugăm să rețineți că informațiile furnizate pe această pagină nu sunt destinate și nu trebuie interpretate ca fiind consiliere juridică, fiscală, investițională, financiară sau orice altă formă de consiliere. Este important să investești doar ceea ce îți poți permite să pierzi și să cauți sfaturi financiare independente dacă ai îndoieli. Pentru informații suplimentare, vă sugerăm să consultați termenii și condițiile, precum și paginile de ajutor și asistență furnizate de emitent sau agent de publicitate. MetaversePost se angajează să raporteze corecte, imparțial, dar condițiile de piață pot fi modificate fără notificare.
Despre autor
Alisa, o jurnalistă dedicată la MPost, specializată în criptomonede, inteligență artificială, investiții și domeniul vast al Web3. Cu un ochi aprofundat pentru tendințele și tehnologiile emergente, ea oferă o acoperire cuprinzătoare pentru a informa și a implica cititorii în peisajul în continuă evoluție al finanțelor digitale.
Mai multe articole
Alisa, o jurnalistă dedicată la MPost, specializată în criptomonede, inteligență artificială, investiții și domeniul vast al Web3. Cu un ochi aprofundat pentru tendințele și tehnologiile emergente, ea oferă o acoperire cuprinzătoare pentru a informa și a implica cititorii în peisajul în continuă evoluție al finanțelor digitale.
