Era Lend yang berbasis ZkSync kehilangan $3,4 juta dalam eksploitasi DeFi

Era Lend, protokol peminjaman terdesentralisasi yang beroperasi pada zkSync Layer 2, menjadi korban terbaru dari serangan reentrancy yang mengakibatkan kerugian sebesar $3,4 juta, karenadikonfirmasi oleh analis keamanan di BlockSec.

Serangan itu mengeksploitasi kerentanan reentrancy read-only yang memungkinkan peretas melakukan panggilan berulang kali ke suatu fungsi dalam satu transaksi, menarik lebih banyak dana daripada hak mereka. Mengambil keuntungan dari oracle harga yang salah yang diandalkan oleh Era Lend, penyerang menggunakan exploit reentrancy untuk lebih menguras aset dari protokol.

Biasanya, fungsi tampilan yang diberi label sebagai hanya-baca dianggap aman, seringkali tidak memiliki perlindungan masuk kembali karena tidak mengubah status kontrak. Istilah "baca-saja" menunjukkan bahwa fungsi tersebut hanya melakukan tindakan tampilan, seperti menghitung saldo token berdasarkan pasokan kumpulan pihak ketiga. Dalam insiden ini, pihak ketiga adalah pertukaran terdesentralisasi lainnya yang disebut SyncSwap. Namun, seperti yang diperlihatkan oleh kasus ini, fungsi-fungsi ini dapat dimanipulasi untuk menyedot dana yang besar.

“Penyerang mengubah harga LP selama tindakan pembakaran/pencetakan SyncSwap, menggunakan cadangannya untuk menentukan harga LP [di Era Lend],” kata Lei Wu, salah satu pendiri dan CTO BlockSec, kepada The Block. “Semua proyek yang menggunakan kode SyncSwap harus tetap waspada.”

Era Lend menanggapi

“Kami telah mendeteksi dan mengonfirmasi serangan dunia maya di platform kami. Kami ingin meyakinkan Anda bahwa serangan itu telah diatasi, dan pelaku ancaman tidak dapat lagi melanjutkan aksinya,” kata Era Lend dalam sebuah pernyataan.penyataan pada Perselisihan.

Ini mengklarifikasi bahwa hanya kumpulan USDC yang dikompromikan, sementara keamanan aset selain USDC tetap utuh.

Sebagai tindakan pencegahan, tim menyarankan pengguna untuk tidak menyetor USDC untuk saat ini. Selain itu, operasi peminjaman di platform telah dihentikan sementara, tim menambahkan.