Một báo cáo được công bố hôm thứ Sáu cho thấy số tiền đã bị mất trong một cuộc tấn công “re-entrancy”.
Giao thức cho vay phi tập trung Ola Finance đã bị khai thác với giá hơn 4,67 triệu đô la trong một cuộc tấn công “re-entrancy” vào thứ Năm, theo một báo cáo được các nhà phát triển công bố.
Ola vận hành một giao thức tài chính phi tập trung (DeFi) trên một số blockchain và cuộc tấn công hôm thứ Năm đã nhắm mục tiêu vào việc triển khai của nó trên mạng Fuse. DeFi đề cập đến việc sử dụng các hợp đồng thông minh thay vì bên thứ ba cho các dịch vụ tài chính như cho vay và đi vay.
Các dịch vụ của Ola trên mạng Fuse đã được khai thác với giá 216.964,18 USDC, 507.216,68 BUSD, 200.000,00 fUSD, 550,45 ether được bọc, 26,25 bitcoin được bọc và 1.240.000.00 FUSE. Nó trị giá hơn 4,67 triệu đô la theo thời giá hiện tại.
Cuộc tấn công xảy ra thông qua một lỗ hổng re-entrancy trong tiêu chuẩn mã thông báo ERC677. Reentrancy là một lỗi phổ biến cho phép kẻ tấn công lừa hợp đồng thông minh bằng cách thực hiện các cuộc gọi lặp đi lặp lại đến một giao thức để đánh cắp tài sản. Cuộc gọi là sự ủy quyền để địa chỉ hợp đồng thông minh tương tác với địa chỉ ví của người dùng.
Trong giao dịch trộm đầu tiên, kẻ tấn công đã vay nhanh 515 WETH từ cặp WETH-WBTC trên Voltage Finance để tài trợ cho cuộc tấn công. Trong các giao dịch sau đó, kẻ tấn công đã tránh được một khoản vay chớp nhoáng bằng cách sử dụng số tiền đã bị đánh cắp, báo cáo sau khám nghiệm xác nhận. Voltage là một giao thức giao dịch phi tập trung cho phép giao dịch tự động các mã thông báo DeFi trên mạng Fuse.
Những kẻ tấn công đã có thể lừa các hợp đồng thông minh của Voltage bằng cách chuyển các tài sản được bao bọc – tạo ra bằng cách sử dụng các khoản vay nhanh, một hình thức cho vay không tập trung – và gọi hợp đồng thông minh chuyển tiền từ Voltage đến địa chỉ của tin tặc.
Ola Finance cho biết cuộc tấn công không thể được nhân rộng trên các mạng cho vay khác mà nó hỗ trợ. “Chúng tôi sẽ điều tra logic“ chuyển giao ”của từng mã thông báo để đảm bảo không có tiêu chuẩn mã thông báo có vấn đề nào được sử dụng”, các nhà phát triển cho biết.
Trong khi đó, Voltage cho biết họ đang nói chuyện với các bên bên ngoài để truy tìm kẻ tấn công và lập kế hoạch bồi thường cho những người dùng bị ảnh hưởng.