S-au furat 90 de milioane de dolari de pe blockchain-ul Terra | Lucru trecut neobservat timp de 7 luni

Încă în octombrie 2021, prin alicația DeFi numită Mirror Protocol s-a reușit comiterea unei înșelătorii (hack) de 90 de milioane de dolari, toate acestea pe vechiul blockchain Terra – iar lucrul a rămas complet neobservat până săptămâna trecută.

Mirror Protocol este o aplicație descentralizată care permite crearea unor instrumente digitale ce urmăresc prețul activelor reale, al acțiunilor de exemplu. Astfel, Mirror Protocol permitea utilizatorilor să deschidă poziții long sau short pe diferite acțiuni, folosind instrumentele sintetice create.

Contractele de bază ale Mirror au fost instalate pe blockchain-ul Terra Classic, dar instrumentele sale sunt disponibile și pe Ethereum și Binance Smart Chain. Atacul s-a desfășurat pe Terra, care s-a prăbușit la începutul lunii mai după ce principalul său stablecoin și-a pierdut valoarea și a tras după sine token-ul frate, LUNA. (Blockchain-ul a fost repornit ca Terra 2.0, iar lanțul original rulează mai departe ca Terra Classic.)

Furtul a fost observat de utilizatorul cu numele „FatMan”, un membru al comunității Terra și analist în același timp. El a fost unul dintre cei mai vocali oponenți ai lansării noului blockchain Terra.

Two coffees later, as I was about to give up, I found this. Hold on… What’s going on here? A single transaction from October 2021 unlocking one position over and over again – and it actually executed. Here’s the transaction: https://t.co/2pbiwqKWNT (9/12) pic.twitter.com/lklZHIYQqV
— FatMan (@FatManTerra) May 27, 2022

Compania de securitate BlockSec a confirmat observațiile lui FatMan prin analizarea tranzacției de exploatare concrete. BlockSec a confirmat că într-adevăr a existat un abuz.

Ai 10% reducere la toate taxele pentru totdeauna, dacă îți deschizi un cont nou la cel mai popular exchange de criptomonede, Binance!

Deschide-ți cont acum

✎✎✎✎✎

DeFi hack de 90 de milioane de dolari: Cum s-a putut întâmpla frauda?

FatMan susține c-a reușit să descopere frauda „printr-o coincidență norocoasă”, unde atacatorul a furat exact 89.706.164.03 de dolari datorită unei lacune care i-a permis „să elibereze, iar și iar, garanția pentru contractele blocate, cu risc zero și costuri reduse”.

Atunci când cineva dorește să tranzacționeze acțiuni prin protocolul Mirror, trebuie să blocheze – ca garanție – pentru cel puțin 14 zile una dintre următoarele sale criptomonede: UST, LUNA Classic (LUNC) sau instrumente Mirror (mAsset).

Garanția depusă poate fi accesată numai după ce tranzacția a fost închisă. Toate acestea se realizează prin utilizarea numerelor de identificare generate pe baza contractului smart. Însă, din cauza unui cod incorect, contractul smart blocat al Mirror n-a putut verifica dacă cineva a folosit același ID de mai multe ori pentru a retrage banii.

În octombrie 2021, o entitate necunoscută a observat că, utilizând o listă de identificatori repetitivi, reușește să deblocheze de câteva sute de ori mai multe garanții decât posedă. Practic, acest lucru însemna că făptuitorul putea retrage bani fără aprobare/permisiune.

Într-adevăr, o examinare a datelor on-chain ale Terra Classic arată că făptașul a reușit să deblocheze fonduri UST din protocol de mai multe ori în cadrul aceleiași tranzacții și a plătit în schimb numai 17.54$.

Lucru neobservat timp de șapte luni

Potrivit BlockSec, foarte probabil exploatarea a trecut neobservată deoarece există mai puțini utilizatori pe blockchain-ul Terra care caută posibile erori decât pe Ethereum sau lanțurile compatibile cu Ethereum.

În plus, pe site-ul Mirror nu există nicio interfață care ar fi permis verificarea întregii sume care figurează în registre.

La începutul lunii mai, dezvoltatorii Mirror au remediat în liniște vulnerabilitatea, cam în același interval în care a început decăderea stablecoin-ului UST. Nu este foarte clar dacă dezvoltatorii Mirror știau despre fraudă.

În orice caz, nu vorbim de primul caz în care un hack rămâne neobservat pentru ceva timp. Atunci când hackerii au furat 600 de milioane de dolari de pe lanțul lateral Ronin în martie 2022, a trecut o săptămână înainte ca cineva să observe că furtul a avut loc. Apoi, utilizatorii și-au dat seama că nu-și pot retrage banii și au constatat că aici există oarecare lipsuri.

Mirror Protocol, care în prezent face obiectul unei investigații SEC, n-a făcut încă vreo declarație oficială în acest caz. Echipa Mirror sau cea a Terraform Labs n-a răspuns deocamdată solicitărilor de răspuns.