Сообщается, что злоумышленник добавил адрес кошелька в качестве «решателя» CoW Swap.
BNB на сумму более $181 000 переведен в криптовалютный миксер Tornado Cash.
Уязвимость в смарт-контрактах, лежащих в основе протокола децентрализованного финансирования (DeFi) CoW Swap, привела к краже около 551 BNB на сумму около 181 600 долларов США. Сообщается, что злоумышленник добавил адрес кошелька в качестве «решателя» CoW Swap. А затем использовал транзакцию для авторизации перевода DAI в SwapGuard перед переводом средств на другой адрес.
Более того, компания по мониторингу блокчейнов MevRefund первой выявила вторжение. Деньги были переведены из CoW Swap, и функция SwapGuard протокола была одобрена. Разрешение кому-либо выполнять «произвольные вызовы функций».
PeckShield, компания, занимающаяся безопасностью блокчейнов, в течение часа сообщила, что десятью днями ранее SwapGuard смогла обмануть контракт GPv2Settlement CoW Swap, заставив его принять расходы DAI. Когда эксплойт был запущен, злоумышленник только что использовал SwapGuard, чтобы удалить DAI из контракта GPv2Settlement.
Переведено в Tornado Cash
Более того, BlockSec, платформа безопасности блокчейна, предоставила дополнительный контекст, объяснив, что злоумышленник одобрил транзакции, потому что он добавил адрес кошелька в качестве решателя протокола с помощью мультиподписи. Эксплуататор может разрешить платежи на любой адрес по своему усмотрению после того, как передача DAI будет разрешена расчетным договором.
Токены BNB, USDT, USDC и ETH были отправлены на адрес эксплуататора. Около 551 BNB на сумму более 181 000 долларов были переведены на криптовалютный миксер Tornado Cash, который находится под санкциями OFAC.
Более того, CoW Swap заверила своих клиентов, что украденные деньги представляют собой недельную комиссию. В организации заявили, что проблема устранена и ведется расследование.
Рекомендуется для вас:
Протокол Ориона воспользовался хакером, укравшим около 3 миллионов долларов
