DeFi-protokolla Abracadabra kärsi hakkeroinnista
Abracadabra, DeFi-lainausprotokolla, menetti 1,8 miljoonaa dollaria hyökkääjän hyödynnettyä yksinkertaista loogista virhettä sen erätoiminnossa. Hackenin analyytikot kertovat, että hyökkääjä on jo rahanpesun Tornado Cashin kautta.
Hyökkäyksen taustat
Lokakuun alussa Abracadabra, joka mahdollistaa käyttäjien lainata sen vakaavaluutta MIM talletettujen tokenien vakuutena, kärsi jälleen hakkeroinnista. Tällä kertaa hyökkääjä käytti yksinkertaista loogista virhettä protokollan erätoiminnossa lainatakseen ilman vakuutta, samalla tavalla kuin haaroitettu projekti oli kärsinyt vain muutama päivä aiemmin.
”Hyökkääjä hyödyntäsi loogista virhettä Abracadabran cook-toiminnossa, jossa he voisivat lainata MIM-tokeneita ja sitten heti nollata validointilipun, joka oli tarkoitettu tarkistamaan, onko heillä tarpeeksi vakuutta.”
Protokollan toiminta
Abracadabra lanseerattiin keinona, jolla ihmiset voivat käyttää korkoa tuottavia tokeneita vakuutena ja lainata Yhdysvaltain dollariin sidottua tokenia nimeltä Magic Internet Money (MIM). Järjestelmä perustuu kahteen osaan: Cauldrons, jotka käsittelevät lainaus sääntöjä, ja DegenBox, jaettu holvi, joka todella pitää tokeneita.
Yhteenvetona: asetat vakuuden Cauldroniin, ja DegenBox seuraa rahaa kulissien takana. Lyhyesti sanottuna, mitä meni pieleen, on tämä: turvallisuuslippu, jonka pitäisi pakottaa lopullinen tarkistus lainanottajan vakuudelle, kytkettiin pois päältä yhdessä transaktiossa.
Hyökkäyksen yksityiskohdat
Hackenin raportin mukaan hyökkääjä iski kuuteen Cauldroniin yhdellä kertaa, ottaen noin 1,79 miljoonaa MIM:ää ja vaihtamalla sen ETH:ksi. Hyökkääjät hyödyntivät haavoittuvuutta ja kävivät systemaattisesti läpi kuusi eri Cauldronia tyhjentäen jokaisen ”käyttäen samaa tekniikkaa omalla cook-toimintokutsullaan,” analyytikot selittivät.
Vaihdon jälkeen hyökkääjä ohjasi varat Tornado Cashin, kryptovaluuttasekoitusprotokollan, kautta, pääasiassa 10 ETH kerrallaan, lähettäen varoja vähitellen seuraavan päivän aikana.
Edelliset ongelmat ja reaktiot
Tämä ei ole ensimmäinen kerta, kun Abracadabran CauldronV4-koodi on ollut ongelmissa. Aiemmat tapaukset tänä vuonna ovat käyttäneet erilaisia äärimmäisiä tapauksia samassa sopimusten perheessä. Mielenkiintoista on, kuinka nopeasti haaroitettu käyttöönotto reagoi. Raportin mukaan haaroitus nimeltä Synnax pysäytti tai poisti valkoiselta listalta CauldronV4-mestarinsa omassa DegenBoxissaan päiviä ennen Abracadabra-tyhjennystä, joten käytännössä haaroitustiimi veti hätäjarrua havaittuaan saman heikon kaavan.
