💬 Хакер Rari Fuze предложил Fei Protocol вознаграждение в размере 10 миллионов долларов за возврат 80 миллионов долларов

Хакер Rari Fuze предложил Fei Protocol вознаграждение в размере 10 миллионов долларов за возврат 80 миллионов долларов

Платформа децентрализованного финансирования (DeFi) Fei Protocol предложила хакерам вознаграждение в размере 10 млн долларов за попытку провести переговоры и вернуть большую часть украденных средств из различных пулов Rari Fuse на сумму 79 348 385,61 долларов США или почти 80 млн долларов США.

30 апреля Fei Protocol проинформировал своих инвесторов об эксплойте в многочисленных пулах Rari Capital Fuse, попросив хакеров вернуть украденные средства в обмен на вознаграждение в размере 10 миллионов долларов и обязательство «без вопросов».

Нам известно об эксплойте в различных пулах Rari Fuse. Мы определили основную причину и приостановили все заимствования, чтобы смягчить дальнейший ущерб. Эксплуататору: примите вознаграждение в размере 10 млн долларов и не задавайте вопросов, если вы вернете оставшиеся средства пользователей. — Протокол Фэй (@feiprotocol) 30 апреля 2022 г.

Хотя точные данные об убытках от эксплойта официально не сообщались, система мониторинга BlockSec, занимающаяся расследованием DeFi, обнаружила убыток в размере более 80 млн долларов США, указав основной причиной типичную уязвимость повторного входа. Хотя ошибки повторного входа были главной причиной многих эксплойтов в экосистеме DeFi, 80 миллионов долларов добычи делают протокол Fei одним из самых крупных взломов повторного входа за всю историю.

В ходе дальнейших расследований разработчик Rari Джек Лонгарзо обнаружил в общей сложности шесть уязвимых пулов (8, 18, 27, 127, 144, 146, 156), которые были временно приостановлены на время выполнения внутреннего исправления. На момент написания статьи внутренние и внешние инженеры по безопасности Rari сотрудничали с поставщиком услуг DeFi Compound Treasury для дальнейшего расследования и нейтрализации взлома.

Предоставив дополнительную информацию о разработке, исследователь блокчейна PeckShield сузил эксплойт до ошибки повторного входа, которая позволяет хакерам использовать функцию и выполнять внешние вызовы другого ненадежного контракта.

Старая ошибка повторного входа снова проявляется на форках Compound с убытком в 80 миллионов долларов! На этот раз он повторно входит через exitMarket()!!! https://t.co/NpC8AAZRXc Осторожно, все разветвления Compound в цепочках, совместимых с EVM. Свяжитесь со своими аудиторами сейчас или не стесняйтесь обращаться к нам, если мы можем чем-то помочь pic.twitter.com/M9JElTWMSd — PeckShield Inc. (@peckshield) 30 апреля 2022 г.

Рейтинговая платформа CertiK, ориентированная на безопасность, сообщила Cointelegraph, что злоумышленник отправил 5400 эфиров (ETH) (~ 15 298 900 долларов США) на Tornado Cash и по-прежнему держит 64 245 245,43 долларов США (22 672,97 ETH) в своем кошельке. Атака истощила средства из пула Rari, в то время как пулы Fei (Tribe, Curve) остались нетронутыми.

В прошлом году, 8 мая 2021 года, Rari Capital стала жертвой дорогостоящего эксплойта, связанного с интеграцией с Alpha Venture DAO (ранее Alpha Finance Lab). На момент написания отчета команда Fei Protocol не делала официальных заявлений о результатах своего расследования.

По теме: запланируйте вознаграждение за обнаружение ошибок в размере 1 миллиона долларов и удвойте количество узлов после взлома Ронина на 600 миллионов долларов

По мере того, как криптосообщество ведет постоянно развивающуюся борьбу с хакерами, многочисленные проекты и протоколы решили усилить свои меры безопасности. 28 апреля Ronin Network и Sky Mavis объявили о планах по обновлению своих смарт-контрактов после взлома на 600 млн долларов в предыдущем месяце.

Мы подготовили вскрытие эксплойта Ронина, произошедшего 23 марта. • Почему это произошло • Что мы делаем, чтобы это никогда не повторилось • Обновление повторного открытия моста Ронина https://t.co/FfwCtCG84E — Ронин (@Ronin_Network) 27 апреля 2022 г.

Федеральное бюро расследований (ФБР) приписало атаку базирующейся в Северной Корее и спонсируемой государством хакерской группе Lazurus, которая отправила предупреждение другим крипто- и блокчейн-организациям.