Vụ tấn công flash loan thứ tư trong tuần này: Origin công bố thông tin tấn công và kêu gọi tin tặc trả lại tiền
Tiêu đề gốc: "Cuộc tấn công flash loan thứ tư trong tuần này, Origin Protocol đã chính thức ban hành tài liệu đánh giá quá trình tấn công"
Nguồn gốc: Origin Protocol
Bản dịch gốc: Babbitt
"Giao thức gốc stablecoin OUSD đã bị tấn công bởi một oracle thao túng khoản vay nhanh, dẫn đến mất tài sản Tài sản mật mã trị giá 7 triệu USD. Theo dữ liệu của coincko., OUSD đã giảm 85,5% trong 24 giờ qua và hiện đang giao dịch ở mức 0,146 USD. Các cuộc tấn công cho vay nhanh chắc chắn là vấn đề bảo mật phổ biến và nghiêm trọng nhất trong lĩnh vực DeFi. Trong tuần, 4 trường hợp đã xảy ra các cuộc tấn công cho vay Flash, bao gồm Value DeFi (5,4 triệu USD), Cheese Bank (3,3 triệu USD), Akropolis (2 triệu USD) và ngày nay là OUSD (7 triệu USD)."
Sau đây là thông tin do người đồng sáng lập Origin Protocol, Matthew Liu đưa ra về cuộc tấn công flash loan này:
Stablecoin OUSD của Origin Protocol đã bị hack và tiền của người dùng đã bị mất. Chúng tôi đang tích cực điều tra vấn đề này. Vui lòng tham khảo bài đăng trên blog này vì thông tin có thẩm quyền sẽ được cập nhật trong những ngày tới.
Trong ba giờ qua, chúng tôi đã dành ba giờ để tìm hiểu cuộc tấn công và theo dõi nó từ đó. kho tiền OUSD cho những kẻ tấn công Tiến trình đã được thực hiện về mặt tài trợ của ví.
Chúng tôi đang tích cực thực hiện các bước để thu hồi tiền. Điều này bao gồm làm việc với các sàn giao dịch và các bên thứ ba khác để có khả năng xác định những kẻ tấn công và/hoặc đóng băng tiền để tránh bị thanh lý.
Chúng tôi đã truy tìm số tiền và biết rằng những kẻ tấn công đã sử dụng cả Tornado Cash và renBTC để rửa và chuyển tiền.
Hiện tại, kẻ tấn công vẫn còn 7.137 ETH và 2,249 triệu DAI trong một trong các ví của mình.
Thông tin giao dịch của cuộc tấn công này có tại đây (giao dịch tấn công sớm nhất:
https://etherscan.io/tx/0xe1c76241dda7c5fcf1988454c62114 2495 640e708e3f8377982f55f8cf2a8401).
Dưới đây cũng là bản tóm tắt thông tin về cuộc tấn công này:
· Cuộc tấn công này là do lỗi đăng nhập lại trong hợp đồng của chúng tôi. Trên thực tế, tính bảo mật của các hợp đồng của chúng tôi không bị ảnh hưởng bởi các lỗ hổng đăng nhập lại trừ khi một cuộc tấn công được thực hiện nhằm vào chúng tôi thông qua một trong những stablecoin mà chúng tôi hỗ trợ.
· Những kẻ tấn công đã khai thác một bước kiểm tra xác thực bị thiếu (khi đúc OUSD thông qua nhiều stablecoin) để giành quyền kiểm soát các "stablecoin" giả mạo Pass. "Stablecoin" này sau đó được Vault gọi là "transferFrom", cho phép tin tặc tấn công hợp đồng thông qua một cuộc tấn công tái nhập trong quá trình đúc tiền.
· Sau khi tiền được chuyển đến OUSD từ trạm đúc tiền lớn đầu tiên và trước khi nguồn cung OUSD tăng lên, kẻ tấn công có thể Tạo một rebase sự kiện trong thời gian đúc tiền. Điều này tạo ra một sự nổi loạn lớn cho tất cả mọi người trong hợp đồng, bao gồm cả kẻ tấn công. Kẻ tấn công sau đó cũng nhận được số tiền OUSD lớn đầu tiên của họ, nâng tổng số OUSD của họ lên nhiều hơn số tiền mà hợp đồng nắm giữ.
· Kẻ tấn công đã rút hầu hết các stablecoin khỏi OUSD.
· Sau đó, họ có thể tiến hành rút OUSD sau khi rút và bán USDT trên Uniswap và Sushiswap.
Hiện tại, khoản lỗ tài chính là khoảng 7 triệu USD, bao gồm cả khoản lỗ của Origin và những người sáng lập của chúng tôi, v.v. hơn 1 triệu USD tiền gửi của nhân viên. Chúng tôi sẽ tiếp tục tăng cường nỗ lực cho đến khi xác định được nguyên nhân của việc khai thác và liệu chúng tôi có thể thu hồi được số tiền này hay không. Chúng tôi sẵn sàng làm bất cứ điều gì có thể để giải quyết vấn đề này.
Chúng tôi đã vô hiệu hóa việc gửi tiền vào Vault. Chúng tôi sẽ xuất bản báo cáo phân tích giao dịch chi tiết sau.
Trong vài ngày tới, chúng tôi sẽ thực hiện các biện pháp chi tiết để lấy lại số tiền người dùng đã mất trước đó thảo luận về kế hoạch bồi thường cho những người nắm giữ OUSD bị ảnh hưởng. Xin nhắc lại, vui lòng không mua OUSD trên Uniswap hoặc Sushiswap vì giá hiện tại không phản ánh tài sản cơ bản của OUSD.
Gửi tới tin tặc: Chúng tôi yêu cầu bạn làm điều đúng đắn và trả lại tiền của mình. Bạn đã thể hiện kỹ năng hack xuất sắc và chúng tôi muốn thuê bạn làm cố vấn bảo mật. Nếu bạn trả lại 100% số tiền của mình, chúng tôi đảm bảo rằng chúng tôi sẽ không truy đuổi bạn thêm nữa hoặc thực hiện bất kỳ hành động pháp lý nào chống lại bạn. Chúng tôi khiêm tốn yêu cầu bạn xem xét hàng trăm người vô tội mà bạn đang làm hại và trả lại tiền.
Cuối cùng, chúng tôi muốn bày tỏ lòng biết ơn đối với cộng đồng blockchain rộng lớn hơn. Trong thời gian thử thách này, chúng tôi đã nhận được sự hỗ trợ to lớn từ các nhà đầu tư, kỹ sư DeFi, chuyên gia bảo mật, v.v. Chúng tôi rất biết ơn các nhóm có thể giúp chúng tôi phân tích sâu hơn về cuộc tấn công, theo dõi số tiền và có khả năng xác định được những kẻ tấn công. Cảm ơn bạn từ tất cả các thành viên trong nhóm của chúng tôi.
Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:
Nhóm Telegram đăng ký: https://t.me/theblockbeats
Nhóm Telegram thảo luận: https://t.me/BlockBeats_App
Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia
Bài viết liên quan
