Platforma NFT XCarnival atacat: malefactorii folosesc tokenul BAYC

Cuprins

• Platforma de creditare XCarnival NFT atacată printr-un vector neobișnuit
• Hackerii au început să returneze fonduri

Conform protocolului post-mortem, agențiile de securitate au deja „determinat provizoriu” locația hackerilor, iar negocierile sunt în curs.

Platforma de creditare XCarnival NFT atacată printr-un vector neobișnuit

Potrivit declarației împărtășite de PeckShield, un important furnizor de securitate cibernetică pentru produse blockchain, platforma de creditare NFT XCarnival a fost atacată.

1/ @XCarnival_Lab a fost exploatat într-o rafală de txs (un hack tx: https://t.co/LUcxSU9UQn),
conducând la câștig de 3,087 ETH (~3.8 milioane USD) pentru hacker (pierderea protocolului poate fi mai mare). pic.twitter.com/mmGw5PQfbt

- PeckShield Inc. (@peckshield) 26 Iunie, 2022

Atacatorii au reușit să obțină un număr infinit de împrumuturi folosind același NFT (Bored Apes Yacht Club #5110). Protocolul a fost vizat de o „rafală” de tranzacții inițiate de hackeri.

Malefactorii au reușit să genereze mai multe adrese de contract, să gajeze BAYC NFT ca garanție, să obțină un împrumut, să retragă imediat un NFT și să repete această procedură de mai multe ori.

Ca atare, hackerii au împrumutat peste 3.8 milioane de dolari în echivalent Ethereum (ETH), fără a fi nevoie să ramburseze împrumutul. Acest lucru a devenit posibil datorită vulnerabilității din baza de cod a modulului de împrumut.

Hackerii au început să returneze fonduri

Echipa a raportat prompt problema agențiilor de securitate cibernetică și de aplicare a legii. Inițial, hackerului i s-a oferit o recompensă de 300,000 de dolari pentru a recupera fondurile, dar apoi suma a fost majorată la 1.8 milioane de dolari.

Contractul principal, precum și funcțiile de depozit și împrumut au fost închise pentru a preveni ca utilizatorii XCarnival să-și piardă fondurile.

Pe măsură ce atacatorul a fost urmărit, au început negocierile. Până la momentul scrierii, el/ea a returnat 1,467 de eteri (ETH) furați. De asemenea, trebuie menționat că fondurile inițiale pentru atac au fost transferate din mixerul Tornado Cash.

După cum a fost descris anterior de U.Today, hackerii au atacat protocolul de împrumut/împrumut descentralizat Inverse Finance la începutul acestei luni; pierderile au eclipsat 1.25 milioane USD în echivalent.