Хакер викачує ETH на 1.4 мільйона доларів у кредитора NFT Omni

У Omni, платформі грошового ринку незамінних токенів (NFT), було вичерпано близько 1,300 ETH (1.43 мільйона доларів США) під час атаки повторного доступу до кредиту в неділю, відповідно до PeckShield.

Omni дозволяє користувачам робити ставки на свої NFT, зазвичай із популярних колекцій, як-от Bored Ape Yacht Club, щоб отримувати токени, такі як ether (ETH). 

У сьогоднішній атаці хакер використав уразливість повторного входу в протокол Omni. Повторне входження — це відома вразливість у проектах, закодованих за допомогою Solidity, яка дозволяє шахраю змусити свій смарт-контракт здійснювати зовнішній виклик до ненадійного контракту. Цей зовнішній виклик виконується перед початковою функцією і, таким чином, може використовуватися для багаторазового повторного входу в протокол, щоб вичерпати його ліквідність.

Яджін Чжоу, генеральний директор компанії з безпеки блокчейнів BlockSec, пояснив The Block процес експлойту, сказавши, що зловмисник вніс NFT із колекції під назвою Doodles. Ці NFT використовувалися як застава для запозичення загорнутого ETH (WETH).

Потім зловмисник скористався вразливістю повторного входу, вилучивши всі NFT, окрім одного, внесені як заставу. Ця дія спрацьовує шкідливу функцію зворотного виклику на користь зловмисника. Ця функція дозволяла хакеру використати позичені кошти, щоб придбати ще більше дудлів, перш ніж ліквідувати кредитну позицію.

Після ліквідації позиції Doodle NFT, що залишився з оригінальної застави, повертається зловмиснику. Позику позики ліквідовано, оскільки вартість NFT, яка спочатку була залишена як застава до виклику функції зворотного виклику, була недостатньою для покриття позиції боргу. Ось тут і виникає повторне входження, оскільки зловмисник може пройти через позичений WETH, щоб купити більше NFT до того, як відбудеться ліквідація.

Потім зловмисник використовував дудли, придбані з початковою позикою, як заставу, щоб позичити більше WETH. Omni, однак, не визнав цю нову боргову позицію, тому хакер міг вилучити NFT, не повернувши позику.

Атака витягла з протоколу понад 1,300 WETH ($1.4 млн). Omni сказав, що експлойт не вплинув на кошти клієнтів, оскільки це вплинуло лише на кошти внутрішнього тестування, оскільки платформа все ще перебуває в режимі бета-тестування.

Платформа грошового ринку NFT заявила, що призупинила протокол до повного розслідування. Дані Etherscan показують, що експлуататор вже відмивав кошти через Tornado Cash, сервіс змішування монет для приватних транзакцій на Ethereum.

© 2022 The Block Crypto, Inc. Всі права захищені. Ця стаття надана лише в інформаційних цілях. Він не пропонується або не може використовуватися як юридична, податкова, інвестиційна, фінансова чи інша порада.