1/n Insiden pencurian aset lainnya terjadi di sekitar Bayam! ! Perhatian jika Anda pernah menggunakan Hashflow! ! Aset Anda bisa dicuri kapan saja! ! Tragedi lain yang disebabkan oleh otorisasi sewenang-wenang! Peneliti Bayam dan Beosin @EatonAshton2 memecahkan kasus pencurian aset ini
Jangan pernah mengotorisasi jumlah yang tidak terbatas! Terutama kontrak yang bukan open source! Jika Anda telah menggunakan Hashflow, silakan periksa otorisasi Anda!
2/n Menyusul insiden terakhir dimana aset teman dicuri dan risiko Uniswap ditemukan, insiden pencurian lainnya kali ini membuat Bayam menemukan risiko lain yang mungkin melibatkan risiko yang lebih luas. Jika Anda telah menggunakan Hashflow dan mengotorisasinya sebelum Mei tahun lalu Jika Anda melebihi batas, Anda berisiko aset Anda dicuri!
Hari ini teman saya bertanya tentang insiden pencurian aset.
3/n Teman saya mengirimkan sejumlah U dari bursa ke dompet korban, setelah itu, U langsung dipindahkan oleh robot MEV menggunakan fungsi yang tidak open-source bernama Yoink. Kunci privat korban tidak bocor, dan saya merasa bingung saat itu.
4/n Kemudian, dalam diskusi dengan peneliti beosin @EatonAshton2, saya berhasil memecahkan kasus ini. Dompet korban telah memberikan otorisasi tanpa batas untuk USDT kepada kontrak dengan nomor akhir Af0c pada 23 April 2022.
5/n Kontrak dengan nomor akhir Af0c ini adalah salah satu kontrak yang dideploy oleh Hashflow. Hashflow adalah DEX tanpa slippage anti-MEV yang sempat populer. Interaksi dengan Hashflow pada saat itu seharusnya semua berkaitan dengan kontrak ini, dan masalahnya memang ada pada kontrak ini. Kontrak ini bahkan tidak open-source?! Jadi mungkin banyak orang yang memberikan otorisasi tanpa batas kepada kontrak ini!
6/n Kontrak ini ditinggalkan oleh Hashflow pada bulan Mei tahun lalu (mungkin karena menemukan celah), tetapi pada 14 Juni 2023, HashFlow diserang oleh hacker. Analisis artikel menunjukkan, kemungkinan besar ini karena pengguna yang menggunakan kontrak tersebut sebelum bulan Mei tahun lalu telah memberikan otorisasi dalam jumlah besar.
https://www.defidaonews.com/article/6822386
7/n Setelah kontrak tersebut ditinggalkan, otorisasi tersebut tidak dicabut, dan mungkin karena pengabaian kontrak menyebabkan logika pembatasan mengalami masalah tertentu, sehingga penyerang dapat memanggil fungsi kontrak yang ditinggalkan untuk menarik aset pengguna.
Dengan perbandingan, kita dapat melihat bahwa insiden hacker pada 14 Juni menyerang kontrak Hashflow dengan nomor akhir Af0c.
8/n Artinya, saat ini karena kontrak Hashflow dengan nomor akhir Af0c yang ditinggalkan telah diserang, jika kamu menggunakan Hashflow dan memberikan otorisasi sebelum bulan Mei tahun lalu, maka kamu sekarang sudah terpapar risiko pencurian aset! Kamu bisa masuk ke halaman otorisasi di Etherscan untuk memeriksa otorisasi kamu dan membatalkan semua otorisasi kontrak yang berisiko!
https://etherscan.io/tokenapprovalchecker
9/n Setiap hari ada banyak orang yang menjadi korban pencurian, jangan sembarangan memberikan otorisasi dalam jumlah besar kepada kontrak! Di pasar bearish kita mungkin tidak mendapatkan profit, tapi jangan sampai kehilangan uang!
Dari insiden ini, karena kode yang ditinggalkan tidak open-source (anehnya ada yang berani menggunakannya), saya menduga hacker tersebut adalah seorang jenius yang bisa membongkar kode, atau seseorang yang tahu tentang kode tersebut dari dalam. Bagaimanapun, jangan sembarangan percaya pada kontrak yang tidak open-source!