🚨 Safe hamyonlaridan $305K o‘g‘irlandi

Ethereum tarmog‘ida Aave v3 protokoli asosida leverajli pozitsiyalarni boshqarish uchun mo‘ljallangan maxsus FlashLoopAdapter shartnomasi xakerlar hujumiga uchradi. Ushbu hodisa oqibatida ikkita Safe hamyoniga jami 305 000 AQSh dollari miqdorida zarar yetkazilgan.

Tahlillarga ko‘ra, hujumchi FlashLoopAdapter shartnomasidagi avtorizatsiya va ruxsatlarni boshqarish xatoligidan foydalangan. Ushbu adapter Safe hamyonlari uchun Aave v3 orqali qarz va garov mablag‘lari yordamida turli strategiyalarni amalga oshirishga mo‘ljallangan modul sifatida yaratilgan edi. Biroq, uning funksiyalarida chaqiruvchi tomonning haqiqiy Safe ekanligini mustaqil ravishda aniqlash o‘rniga, faqatgina ma'lum bir tekshiruv shartiga tayanilgani zaiflik keltirib chiqargan.

Hujum davomida tajovuzkor soxta Safe shartnomasini ishga tushirib, adapter tekshiruvidan muvaffaqiyatli o‘tgan va ruxsatsiz funksiyalarga kirish huquqiga ega bo‘lgan. Natijada u Morpho flesh-kreditidan foydalanib Aave’dagi qariyb 1,335 WETH qarzni yopgan va 1,306 ga yaqin weETH garov mablag‘larini yechib olgan. Oxir-oqibat, xaker qo‘lga kiritilgan mablag‘lar hisobidan taxminan 114.09 ETH ni o‘zida saqlab qolgan.

Hodisa aniqlangach, Aave asoschisi Stani Kulechov jabrlangan shartnoma Aave ustiga qurilgan uchinchi tomon ilovasi ekanini va asosiy Aave v3 protokoliga umuman ta'sir ko‘rsatmaganini ma'lum qildi. Shuningdek, xavfsizlik kompaniyalari sentabr oyida ham Safe modullari bilan bog‘liq shunga o‘xshash ruxsat xatoligi kuzatilganini eslatib o‘tdi.