Два DeFi Avalanche (AVAX) зламано за один день

Сьогодні, 17 лютого 2023 року, зловмисники атакували два протоколи децентралізованого фінансування (DeFi) у блокчейні Avalanche (AVAX). Схоже, дослідникам мережі вдалося знайти принаймні одного хакера.

Один день, два напади

Близько 11:05 ранку за UTC фірма з безпеки криптовалют PeckShield опублікувала сповіщення про можливий злом DeFi. Dexible, мультиблокчейн-алгоритмічний торговий протокол DeFi, який має версії для Ethereum (ETH), Avalanche (AVAX), Poly Network (POLY), BNB Chain (BSC) і так далі, втратив понад 1.5 мільйона доларів через уразливість у своїй кодовій базі.

Hi @DexibleApp, вам може знадобитися попросити користувачів скасувати дозвіл! (Втрати вже становлять >1.5 млн доларів). Ось один хак tx: https://t.co/A076AeXsPz pic.twitter.com/HRQ8MBTSGm

- PeckShield Inc. (@peckshield) 17 Лютого, 2023

Уразливість була виявлена ​​в контракті на обмінний маршрутизатор. Зловмисник одразу почав відмивати кошти через міксер Tornado Cash (TORN). Згідно з оприлюдненим кілька хвилин тому першим розслідуванням, фактичний розмір збитків ще не підрахований:

Це дозволило хакеру викрасти кошти з будь-якого гаманця, який мав схвалення невитрачених витрат за контрактом.

Зараз команда працює над планом відновлення. Усі контракти призупинені. Вчора команда запросила всіх користувачів перейти на нову версію смарт-контракту.

Крім того, Platypus, децентралізований стейблкойн-протокол на основі Avalanche, постраждав від атаки на 8.5 мільйона доларів. Зловмисникам вдалося організувати флеш-кредитну атаку; стейблкойн USP проекту впав нижче 0.5 дол. У співпраці з Tether Limited команді вдалося заморозити кошти на рахунку USDT зловмисника.

ZachXBT приходить на допомогу: нападник на качкодзьоба може бути знайдений

Наразі команда веде переговори з Binance та Circle щодо блокування решти здобичі зловмисників.

Досвідчений дослідник криптовалют ZachXBT допомагає команді DeFi повернути кошти. Він стверджував, що виявив Twitter-акаунт зловмисника. Можливо, зловмисник використовує домен retlqw.eth ENS.

Hi @retlqw оскільки ви деактивували свій обліковий запис після мого повідомлення.

Я відстежив адреси вашого облікового запису від @Platypusdefi exploit, і я на зв’язку з їх командою та обмінами.

Ми хотіли б домовитися про повернення коштів, перш ніж звертатися до правоохоронних органів. pic.twitter.com/oJdAc9IIkD

— ZachXBT (@zachxbt) 17 Лютого, 2023

Після цієї заяви retlqw.eth деактивував облікові записи в Twitter і Instagram. Однак ZachXBT вдалося запропонувати йому винагороду за помилку від імені команди Platypus.