Conic Finance, nền tảng liquidity pool cho giao thức Curve, đã bị tấn công vào ngày 21/07 với nguyên nhân gốc rễ xuất phát từ hợp đồng CurveLPOracleV2 mới.
Giao thức DeFi Conic Finance bị tấn công thất thoát 1700 ETH
Nền tảng omnipool Conic Finance của Curve bị hack
Theo các chuyên gia bảo mật tại BlockSec, giao thức DeFi Conic Finance đã bị tấn công bởi một hacker vào chiều tối ngày 21/07/2023, với thiệt hại là khoảng 1.700 ETH (hơn 3,2 triệu USD).
The root cause is the price manipulation caused by the read-only reentrancy. @ConicFinance https://t.co/xoLgtpvJYP pic.twitter.com/AbmpckTOIz
— BlockSec (@BlockSecTeam) July 21, 2023
Kẻ tấn công chưa xác định đã tận dụng lỗ hổng tái nhập (reentrancy attack), lặp đi lặp lại lệnh rút tiền trước khi oracle cập nhật đúng số dư, từ đó cho phép thao túng hệ thống báo giá (oracle) của nền tảng, từ đó lợi dụng chúng để rút trót lọt 1.700 ETH ra khỏi nền tảng, tương đương hơn 3,2 triệu USD.
Gần như toàn bộ số tiền điện tử bị đánh cắp đã được gửi đến một địa chỉ Ethereum mới chỉ trong một giao dịch, theo dữ liệu do BlockSec cung cấp.
Giao dịch của địa chỉ ví hacker vụ hack Conic Finance. Nguồn: Etherscan
Theo phân tích bởi công ty bảo mật blockchain PeckShield, nguyên nhân gốc rễ đến từ hợp đồng CurveLPOracleV2 mới.
Hi @ConicFinance Based on the initial analysis from the malicious tx, our initial analysis shows the root cause comes from the new CurveLPOracleV2 contract.https://t.co/JmunQImiE5
— PeckShield Inc. (@peckshield) July 21, 2023
FWIW, our audit identifies a similar read-only reentrancy issue. However, the same issue is… https://t.co/lTgYq4Xp49 pic.twitter.com/bXXC7y1OCL
Conic Finance đã nhanh chóng xác nhận tin tức trên Twitter, nói rằng nền tảng hiện đang tiếp tục điều tra vụ việc và đã vô hiệu hoá gửi tiền vào ETH Omnipool trên giao diện người dùng Conic.
Update:
— Conic Finance (@ConicFinance) July 21, 2023
- We are continuing to investigate the root cause of the exploit and are consulting with relevant parties.
- We have disabled ETH Omnipool deposits on the Conic front end. https://t.co/Oln0zh2nCs
Conic Finance là một giao thức DeFi được thiết kế để phân bổ các quỹ vào sàn giao dịch phi tập trung Curve bằng cách sử dụng các nhóm thanh khoản (liquidity pool) mà nó vận hành.
Sturdy Finance cũng bị tấn công oracle trước đó 1 tháng
Trong mảng DeFi, hệ thống oracle đóng vai trò quan trọng bởi chúng cung cấp dữ liệu giá thực tế. Tuy nhiên, oracle cũng là một mục tiêu tiềm năng để các hacker lợi dụng khai thác lỗ hổng.
Vào ngày 12/06/2023, nền tảng lending Sturdy Finance đã bị tin tặc chiếm quyền kiểm soát hệ thống oracle, hiển thị sai giá và từ đó bòn rút thành công số tiền 800.000 USD. Tin tặc đã thực hiện hành vi thao túng oracle này và khiến nó hiển thị sai giá tài sản, trong trường hợp này là stETH trong pool B-stETH-STABLE, cuối cùng là hắn đã trót lọt rút tiền ra khỏi nền tảng.
Sau vụ hack, Sturdy Finance đã tuyên bố treo thưởng 100.000 USD cho hacker nếu trả lại toàn bộ tài sản ETH đã hack 1 ngày trước đó.
Việc các giao thức DeFi bị hack đã không còn quá mới mẻ trong thị trường crypto. Dù có báo cáo cho biết các vụ tấn công giảm mạnh so với những năm trước, cộng đồng vẫn chứng kiến nhiều vụ exploit trong thời gian qua.
Gần đây nhất vào đầu tháng 07/2023, cầu nối Multichain cũng bị nghi vấn bị hack khi công ty bảo mật PeckShield phát hiện 130 triệu USD tiền mã hoá bị di chuyển ra khỏi nền tảng.
Coin68 tổng hợp
Tham gia thảo luận về những vấn đề NÓNG HỔI nhất của thị trường DeFi tại nhóm chat Fomo Sapiens cùng các admin Coin68 nhé!!!
