Stake DAO:n Hyökkäys
Stake DAO on joutunut jatkuvan hyökkäyksen kohteeksi, joka liittyy sen vsdCRV-tokeniin Arbitrum-verkossa. Lohkoketjuturvayritys Blockaid raportoi, että hyökkääjä loi yli 5,4 biljoonaa vsdCRV:ta ja alkoi vaihtaa näitä tokenia ETH:ksi. Stake DAO on vahvistanut tietävänsä tilanteesta ja kehottanut käyttäjiä olemaan vuorovaikutuksessa vsdCRV:n kanssa. Projektin varoitus annettiin, kun tutkijat jatkoivat hyökkääjän toiminnan seuraamista Arbitrumissa ja Ethereumin verkossa.
”Olemme tietoisia meneillään olevasta tilanteesta. Ole hyvä ja älä vuorovaikuta vsdCRV:n tai äänestyksellä vahvistetun sdCRV:n kanssa, joka liittyy Curve Finance -ekosysteemiin ja jota käytetään Stake DAO:n tuottotuotteissa,” projektin edustaja totesi.
Hyökkäyksen Yksityiskohdat
Tokenista tuli tapahtuman keskipiste, kun hyökkääjä väitetysti sai tarpeeksi valtaa luodakseen valtavan tarjonnan. PeckShield kertoi, että osa luoduista varoista oli jo vaihdettu 43,78 ETH:ksi, mikä vastaa noin 91 000 dollaria, ja siirretty Ethereumiin. Tapahtuma on edelleen kehittyvä, ja lopulliset tappioluvut voivat muuttua, kun lisää transaktioita jäljitetään.
Blockaidin mukaan epäilty juurisyy oli vaarantunut Stake DAO:n deployerin yksityinen avain. Yrityksen mukaan hyökkääjä käytti tätä pääsyä konfiguroidakseen LayerZero v2 OFT -peerin vsdCRV-tokenin sopimukselle. Tämä muutos väitetysti ohjasi luottamuksen lailliselta Ethereum-puolen adapterilta hyökkääjän hallitsemaan haitalliseen sopimukseen. Hyökkääjä lähetti sitten väärennetyn ristiin ketjun viestin, joka laukaisi noin 5,44 biljoonan vsdCRV:n luomisen.
BlockSec kuvasi hyökkäystä tapauksena, jossa hyökkääjä oli saanut deployerin yksityisen avaimen ja asettanut satunnaisen peerin vsdCRV:lle.
DeFi:n Turvallisuusongelmat
Tapahtuma raportoitiin hyödynnetyn deployerin avaimen vaarantamisen kautta, mikä johti noin 5,44 biljoonan $vsdCRV:n luomiseen hyökkääjälle. Hyökkääjä näyttää saaneen deployerin yksityisen avaimen ja asettaneen satunnaisen peerin $vsdCRV:lle. Käyttäen tätä peeria, he väärennettyivät haitallisen viestin, joka… Tapahtuma osoittaa, kuinka etuoikeutettu pääsy on edelleen suuri riski DeFi-maailmassa. Vaikka älysopimuskoodi toimii suunnitellusti, vaarantunut deployerin avain voi antaa hyökkääjille mahdollisuuden muuttaa luotettavia asetuksia ja laukaista tappioita.
Stake DAO:n hyökkäys seuraa sarjaa viimeaikaisia DeFi-tapahtumia. Kuten crypto.news aiemmin raportoi, OpenZeppelinin perustaja Manuel Aráoz on todennut, että hän pitää nyt ”kaikkia DeFi:ä” turvattomina ja on neuvonut ystäviään ja perhettään poistumaan DeFi-asemista. Aráoz väitti, että koodausagentit ovat vahvoja työkaluja haavoittuvuuksien löytämiseen, kun taas puolustajien on edelleen korjattava jokainen heikkous ennen kuin hyökkääjät löytävät yhden.
Hänen kommenttinsa tulivat, kun DeFi-protokollat menettivät noin 629,7 miljoonaa dollaria hakkereille huhtikuussa. Erityisesti Wasabi Protocol menetti yli 5 miljoonaa dollaria Ethereumin, Basen, Berachain ja Blastin kautta, kun vaarantunut admin-avain mahdollisti hyökkääjien päivittää sopimuksia ja tyhjentää varoja. Tämä tapaus muistuttaa nykyistä Stake DAO:n huolta, koska molemmat tapahtumat liittyivät etuoikeutettuun avaimen pääsyyn eikä yksinkertaiseen markkinamanipulaatioon. Wasabi varoitti myös käyttäjiä olemaan vuorovaikutuksessa sen sopimusten kanssa, kun tiimi tutki asiaa.
Ristiin Ketjun Tokeniriskit
Stake DAO:n tapaus viittaa myös takaisin ristiin ketjun tokeniriskeihin. Turvaraportit ovat seuranneet toistuvia hyökkäyksiä, jotka liittyvät siltoihin, peer-asetuksiin ja viestivahvistukseen ketjujen välillä vuonna 2026. BlockSecin toukokuun turvallisuuskatsaus listasi useita tapahtumia Ethereumin, Suin, BNB Chainin, Basen, Blastin ja Berachain välillä, joiden kokonaismenetykset olivat noin 15,9 miljoonaa dollaria kahden viikon aikana. Sen blogissa tunnistettiin myös Wasabi keskeiseksi avaimen vaarantamistapaukseksi.
Huhtikuussa Kelp DAO kärsi yhden vuoden suurimmista DeFi-hyökkäyksistä, kun hyökkääjät tyhjensivät noin 292 miljoonaa dollaria LayerZero-pohjaiselta sillalta. Tämä rikkomus herätti huolta ristiin ketjun omaisuuden tukemisesta yli 20 verkossa.
