Pythia terkena serangan reentrancy

Protokol keuangan terdesentralisasi Pythia Finance kehilangan $53.000 melalui serangan reentrancy pada tanggal 3 September, menurut laporan dari perusahaan keamanan blockchain Quill Audits. Pythia adalah proyek stablecoin algoritmik yang bertujuan menggunakan kecerdasan buatan untuk mengelola perbendaharaannya.

Penyerang memanggil fungsi klaim hadiah berulang kali, tanpa mengizinkan saldo hadiah diperbarui setelah setiap panggilan, yang memungkinkan mereka mengumpulkan lebih banyak hadiah daripada yang seharusnya mereka terima.

Menurut laporan tersebut, penyerang dapat memanggil fungsi ini berulang kali dan secara berurutan karena Pythia memanggil fungsi transfer aman token tersebut saat hadiah didistribusikan. Dengan demikian, kontrak token yang berbahaya dapat memanggil kembali Pythia, menyebabkan Pythia memanggilnya kembali, dan mengakibatkan reaksi berantai yang dapat menguras dana protokol.

Laporan audit parsial Quill Audit untuk Pythia menunjukkan tidak ada masalah keamanan yang belum terselesaikan, yang menyiratkan bahwa tim mungkin telah meningkatkan kontrak untuk mencegah penggunaan eksploitasi ini lebih lanjut.

Serangan reentrancy, di mana penyerang memanggil suatu fungsi berulang kali tanpa membiarkan kodenya dieksekusi sepenuhnya, adalah salah satu jenis eksploitasi kontrak pintar yang paling umum.

Kerentanan kritis Zyxel

Pada tanggal 4 September, produsen perangkat keras jaringan Zyxel mengungkapkan kerentanan kritis pada beberapa perangkat jaringannya yang dapat memungkinkan penyerang untuk mengeksekusi kode pada router dan titik akses pengguna, sehingga berpotensi memungkinkan peretas untuk mendapatkan akses ke perangkat pengguna.

Menurut pengungkapan tersebut, kerentanan tersebut merupakan hasil dari netralisasi yang tidak tepat dari elemen-elemen khusus dalam parameter host dalam program CGI dari beberapa versi firmware yang berbeda. Karena netralisasi yang tidak tepat ini, versi-versi firmware tersebut dapat memungkinkan penyerang yang tidak diautentikasi untuk menjalankan perintah OS dengan mengirimkan cookie yang dibuat ke perangkat yang rentan.

Pengguna dompet kripto harus sangat berhati-hati terhadap potensi serangan terhadap jaringan rumah mereka. Jika penyerang memperoleh akses ke jaringan rumah pengguna, mereka dapat menggunakan akses ini untuk mengalihkan lalu lintas pengguna melalui spoofing DNS, melihat data yang tidak terenkripsi yang dikirim melalui jaringan, atau menggunakan inspeksi paket mendalam untuk mendekripsi data yang dienkripsi. Data yang diperoleh dapat digunakan untuk serangan rekayasa sosial guna meyakinkan pengguna untuk menyetujui transaksi atau membagikan kunci pribadi mereka.

Zyxel telah memberikan daftar perangkat yang berpotensi terpengaruh, yang mencakup NWA50AX PRO, NWA90AX, WAC500, dan titik akses lainnya, serta router USG LITE 60AX. Produsen menyarankan pengguna perangkat ini untuk memperbarui firmware mereka.

Eksploitasi Penpie menciptakan Pasar Pendle palsu

Eksploitasi Penpie senilai $27 juta dimungkinkan karena adanya kelemahan yang memungkinkan pengguna mana pun membuat pasar Pendle, menurut laporan tanggal 4 September dari perusahaan keamanan blockchain Zokyo. Laporan tersebut mengklaim bahwa versi protokol sebelumnya telah diaudit oleh Zokyo tetapi tidak mengandung kelemahan tersebut pada saat itu.

Penpie berisi fungsi yang disebut registerPenpiePool yang dapat digunakan untuk mendaftarkan alamat pool baru dan Pendle Market, demikian pernyataan laporan tersebut. Untuk mencegah pasar jahat didaftarkan, fungsi tersebut berisi pengubah yang memeriksa apakah Pendle Market sudah tercantum dalam kontrak pabrik Pendle Finance. Jika tidak tercantum dalam kontrak pabrik ini, maka pasar tersebut tidak dapat didaftarkan. Namun, setiap pengguna dapat mendaftarkan pasar mereka dalam kontrak pabrik dengan memanggil fungsi createNewMarket dalam kontrak pabrik. Menurut laporan tersebut, pada dasarnya ini berarti bahwa setiap pengguna dapat membuat Pendle Market dan mendaftarkannya.

Penyerang mengeksploitasi kerentanan ini untuk membuat Pasar dan kumpulan Pendle palsu, yang dikonfigurasi untuk menyediakan token Pendle yang berharga sebagai hadiah.

Fungsi createNewMarket dari Pendle Finance. Sumber: Zokyo.

Protokol tersebut juga mengandung kelemahan reentrancy yang memungkinkan pasar mana pun untuk menyetorkan token berulang kali dan sebelum saldo lainnya dapat diperbarui. Penyerang memanggil fungsi penyetoran berulang kali, secara artifisial meningkatkan hadiah yang akan diperoleh. Mereka kemudian menarik setoran dan mengklaim hadiah, menguras protokol lebih dari $27 juta.

Menurut laporan tersebut, kelemahan reentrancy ada dalam versi yang diaudit Zokyo. Namun dalam versi tersebut, hanya tim protokol yang dapat mendaftarkan pool dan pasar baru, yang seharusnya dapat mencegah penyerang eksternal memanfaatkannya. Laporan tersebut menyatakan:

Parameter _market yang diterima dalam metode batchHarvestMarketRewards(…) tidak diharapkan berbahaya karena pada versi kode sebelumnya yang diaudit oleh Zokyo, hanya pemilik (multi-sig) yang dapat mendaftarkan pool.

Dalam laporan terpisah yang diterbitkan pada tanggal 3 September, tim Penpie mengklaim bahwa mereka memperkenalkan registrasi pool tanpa izin sekitar satu tahun setelah Zokyo melakukan audit. Saat itu, mereka menyewa firma keamanan AstraSec untuk mengaudit sistem registrasi baru. Namun, hanya kontrak baru yang termasuk dalam cakupan audit ini. Karena eksploitasi tersebut merupakan hasil interaksi antara dua kontrak berbeda yang diaudit oleh dua tim berbeda, tidak satu pun dari mereka yang menemukan kerentanan tersebut. Penpie mengklaim bahwa mereka akan melakukan audit berkala terhadap seluruh protokol di masa mendatang untuk memastikan bahwa insiden seperti ini tidak akan terjadi lagi.

Penpie adalah protokol keuangan terdesentralisasi yang berupaya memberikan peningkatan hasil kepada pengguna Pendle Finance. Eksploitasi terhadap protokol ini terjadi pada tanggal 3 September.