Hemi hat einen Postmortem-Bericht zum Genesis-Drop-Exploit veröffentlicht, der am 7. September stattgefunden hat. Laut Foresight News nutzte der Angreifer eine Schwachstelle in einem MerkleBox-Smart-Contract in Hemis Genesis Drop am 03:36:47 UTC am 7. September, um etwa 124,5 Millionen nicht beanspruchter Tokens zu stehlen.

Der Bericht sagte, der Fehler sei durch einen Reentrancy-Angriff verursacht worden, bei dem der Vertrag die Erstellung von Token-Locks verarbeitete, bevor die Kontostände aktualisiert wurden. Dadurch konnte der Angreifer deutlich mehr abziehen als die Zuteilung in der Claim-Gruppe. Der Angreifer verwendete 2 Millionen Tokens aus dem Sushiswap-HEMI/USDT-Pool als Flash-Loan, führte den Angriff über abgestimmte Contracts in einer einzigen Transaktion aus und tilgte den Kredit noch innerhalb derselben Transaktion.

Die gestohlenen Token wurden innerhalb des Hemi-Netzwerks unmittelbar auf dezentralen Börsen liquidiert und dabei etwa 255.000 US-Dollar an Stablecoins generiert. Die Gelder wurden anschließend über LayerZero an Ethereum, Arbitrum, BSC und andere Netzwerke überbrückt, und der Großteil wurde in Ether umgewandelt.

Hemi sagte, dass sie um 05:42 UTC eine Warnmeldung von Hypernative erhalten habe und die Ursache innerhalb von weniger als einer Stunde identifizieren konnte. Der betroffene Vertrag ist unveränderlich und hat jetzt einen Nullsaldo, sodass er keine weitere Gefahr mehr darstellt. Die übrige Infrastruktur von Hemi war nicht betroffen, und die Ermittlungen zur Identität des Angreifers sowie die Bemühungen, die Gelder zurückzuerhalten, laufen noch.