Хакер украл $1,4 миллиона у NFT-кредитора Omni

CryptoPro

По данным PeckShield, кредитная NFT-платформа Omni из-за атаки хакера лишилась 1300 ETH на сумму около $1,43 миллиона

Omni предоставляет пользователям возможность стекинга NFT из популярных коллекций (например Bored Ape Yacht Club) и вознаграждает их за это в ETH.

В ходе атаки хакер использовал уязвимость реентерабельности в протоколе Omni (известная уязвимость в написанных с помощью Solidity проектах, которая позволяет хакеру заставить смарт-контракт выполнить внешний вызов непроверенного контракта).

Генеральный директор компании в области блокчейн-безопасности BlockSec Яджин Чжоу заявил, что хакер депонировал NFT из коллекции под названием Doodles. Эти NFT использовались в качестве залога для заимствования токенизированных ETH (WETH).

Затем хакер воспользовался уязвимостью, выведя все депонированные в качестве залога NFT, кроме одного. Данное действие активировало вредоносную функцию обратного вызова в интересах хакера, что дало ему возможность использовать заемные средства для покупки еще большего количества Doodles, прежде чем ликвидировать кредитную позицию.

После ликвидации позиции оставшаяся часть Doodle из исходного обеспечения возвращается хакеру. Кредитная позиция ликвидируется, потому что стоимость оставленного в качестве залога NFT до вызова функции обратного вызова была недостаточной для покрытия долговой позиции. Именно здесь возникает реентерабельность, так как хакер может использовать заимствованный WETH для покупки большего количества NFT до процесса ликвидации.

Далее хакер использовал полученные с помощью первоначального кредита Doodles в качестве залога, чтобы занять больше WETH. Однако Omni не распознал новую долговую позицию, поэтому хакер смог вывести NFT, не возвращая кредит.

Атака лишила протокол более 1300 WETH. По словам проекта, эксплойт не затронул средства клиентов, так как пострадали только выделенные для тестирования средства (платформа все еще находится в режиме бета-тестирования).

Omni приостановила работу протокола до завершения расследования. Согласно данным Etherscan, хакер уже отмыл средства через миксер Tornado Cash.

Gandler

Интересно как сильно можно было бы просадить курс если бы се хакеры например эфира сразу продали бы его и купили что-то другое или просто фиат?!

Ivan Ivanov

NFT-стекинг - это интересная идея, но, учитывая уязвимости таких проектов, то нужно относиться к ним с осторожностью.

garryncha

@CryptoPro Хитроумную комбинацию замутил , эти мозги да нужное русло бы....

Scott Shelby

В ходе атаки хакер использовал уязвимость реентерабельности в протоколе Omni (известная уязвимость в написанных с помощью Solidity проектах, которая позволяет хакеру заставить смарт-контракт выполнить внешний вызов непроверенного контракта).
Генеральный директор компании в области блокчейн-безопасности BlockSec Яджин Чжоу заявил, что хакер депонировал NFT из коллекции под названием Doodles. Эти NFT использовались в качестве залога для заимствования токенизированных ETH (WETH).

Уязвимость известная, однако закрыть эту дыру они вовремя не смогли, поэтому считаю, что часть вины лежит на платформе, в их же интересах компенсировать ущерб.

Ivan Ivanov

@Scott-Shelby написано, что средства пользователей не пострадали. так что хакер украл лишь средства самой платформы.

garryncha

@Ivan-Ivanov Но это не означает , что он новоиспечённый Робин Гуд.

Ivan Ivanov

@garryncha конечно нет, он же никому их не отдал, а оставил себе и отмыл. но гораздо лучше, когда затронуты средства самой площадки, а не пользователей.

Scott Shelby

@Ivan-Ivanov В таком случае это их проблемы, однако доверять этой конторе теперь явно будут меньше, пострадала ведь репутация.

Ivan Ivanov

@Scott-Shelby после такого потенциальных пользователей у площадки будет меньше, разве что они не придумают, как убедить людей в надежности.

Scott Shelby

@Ivan-Ivanov Сегодня хакеры украли деньги у платформы, завтра украдут у пользователей, поэтому да, им нужно достаточно серьезно подойти к защите, чтобы хоть как-то восстановить репутацию.

Ivan Ivanov

@Scott-Shelby если бы на платформе было достаточно пользовательских средств, то наверное их бы тоже украли. можно сказать, что стадия бета-тестирования спасла.

Limon1986

@Scott-Shelby Ну вот если они знают про эту уязвимость спрашивается почему не предприняли никаких мер чтобы устранить - невозможно что ли получается.