Система мониторинга компании BlockSec, занимающейся расследованиями DeFi, обнаружила потерю более 80 миллионов долларов — назвав первопричиной типичную уязвимость reentrancy.

Децентрализованная финансовая (DeFi) платформа Fei Protocol предложила хакерам вознаграждение в размере $10 млн. в попытке договориться и вернуть большую часть украденных средств из различных пулов Rari Fuse на сумму $79 348 385,61 или почти $80 млн.

30 апреля компания Fei Protocol проинформировала своих инвесторов об эксплойте в многочисленных пулах Rari Capital Fuse, попросив хакеров вернуть украденные средства за вознаграждение в размере $10 млн. и обязательство «не задавать вопросов».

Мы знаем об эксплойте на различных пулах Rari Fuse. Мы выявили первопричину и приостановили все заимствования, чтобы уменьшить дальнейший ущерб.

Эксплуататор, пожалуйста, примите вознаграждение в размере $10 млн. и обязательство «не задавать вопросов», если вы вернете оставшиеся средства пользователей.

Хотя точные данные о потерях от эксплойта не были официально опубликованы, система мониторинга компании BlockSec, занимающейся расследованиями DeFi, обнаружила потери в размере более 80 миллионов долларов, указав в качестве первопричины типичную уязвимость reentrancy. Хотя ошибки reentrancy были главным виновником многих эксплойтов в экосистеме DeFi, награбленные 80 миллионов долларов делают эксплойт Fei Protocol одним из крупнейших взломов reentrancy в истории.

После дальнейшего расследования разработчик Rari Джек Лонгарзо обнаружил в общей сложности шесть уязвимых пулов (8, 18, 27, 127, 144, 146, 156), работа которых была временно приостановлена, пока идет внутреннее исправление. На момент написания статьи внутренние и внешние инженеры по безопасности Rari сотрудничали с поставщиком услуг DeFi компанией Compound Treasury для дальнейшего расследования и нейтрализации взлома.

Предоставляя дополнительные сведения о разработке, специалист по расследованию блокчейна PeckShield сузил круг подозреваемых в использовании эксплойта до ошибки реентерабельности, которая позволяет хакерам использовать функцию и делать внешние вызовы к другому ненадежному контракту.

Ориентированная на безопасность рейтинговая платформа CertiK сообщила Cointelegraph, что злоумышленник отправил 5400 Ether (ETH) (~$15 298 900) в Tornado Cash и все еще держит $64 245 245,43 (22 672,97 ETH) в своем кошельке. Атака вывела средства из пула Rari, в то время как пулы Fei (Tribe, Curve) остались незатронутыми.

В прошлом году, 8 мая 2021 года, Rari Capital стал жертвой дорогостоящего эксплойта, который был связан с интеграцией с Alpha Venture DAO (ранее Alpha Finance Lab). На момент подготовки отчета от команды Fei Protocol не было никаких официальных заявлений о результатах расследования.

Поскольку криптосообщество постоянно борется с хакерами, многие проекты и протоколы решили усилить меры безопасности. 28 апреля Ronin Network и Sky Mavis раскрыли планы по модернизации своих смарт-контрактов — после взлома на сумму 600 миллионов долларов в предыдущем месяце.

Мы составили посмертный отчет об эксплойте Ronin, который произошел 23 марта.

— Почему это произошло

— Что мы делаем для того, чтобы подобное больше не повторилось

— Повторное открытие моста Ronin

Федеральное бюро расследований (ФБР) приписало атаку северокорейской и спонсируемой государством хакерской группе Lazurus, а также сделало предупреждение другим криптовалютным и блокчейн-организациям.