Белый бот-оператор MEV c0ffeebabe.eth получил средства с помощью эксплойта Curve, а затем вернул их Curve Finance.

Совершив похвальный акт этического взлома, оператор бота MEV с именем ENS «c0ffeebabe.eth» вернул 2879 ETH (приблизительно 5,4 миллиона долларов США) после эксплойта Curve Finance. Средства были взяты из пула ликвидности CRV-ETH.

Вчера компания Curve Finance подверглась серьезному взлому, который произошел в два отдельных этапа. Первоначально около 26 миллионов долларов были незаконно присвоены из-за уязвимости повторного входа в заводские пулы, затронувшей различные проекты, включая JPEG, Metronome и Alchemix.

За первоначальной атакой последовал второй этап, в ходе которого из пула CRV-ETH Curve Finance было выведено 7,1 миллиона CRV (4,4 миллиона долларов США) и 7680 завернутых эфиров (14,37 миллиона долларов США). Используя бота MEV, этический хакер c0ffeebabe.eth умело опередил злоумышленника, защитив вышеупомянутые 2879 ETH на втором этапе. Впоследствии средства были возвращены c0ffeebabe.eth на адрес разработчика Curve, предположительно его законного владельца.

Уязвимость кода под пристальным вниманием:
Инцидент с Curve был вызван уязвимостью в устаревшей версии языка программирования Vyper, которая привела к проблемам с повторным входом в интеллектуальный код Curve. Эта уязвимость позволила злоумышленникам вывести средства из нескольких проектов.

Общая сумма активов, извлеченных из пулов Curve из-за этой уязвимости и последующих вредоносных действий, оценивается охранной фирмой PeckShield в ошеломляющие 52 миллиона долларов. Однако после возвращения c0ffeebabe.eth эта сумма будет оцениваться в $46,5 млн.

После атаки общая заблокированная стоимость Curve Finance (TVL) резко упала. По данным DefiLlama, он упал с $3,26 млрд 30 июля до $1,74 млрд, что означает падение почти на 46% за 24 часа.