分散型取引所Velocoreが688万ドルのETHハッキングに遭う

BlockBeatsによると、分散型取引所プラットフォームであるVelocoreがハッカーの標的にされ、1807ETH（約688万ドル相当）を盗まれた。攻撃後、Velocoreは被害を受けた資金、攻撃方法、補償計画案の詳細を記した報告書を発表した。 Layer2ネットワークのzkSyncとLineaで運営されているこのプラットフォームでは、すべてのユーザーの流動性資金が盗まれた。その後、ハッカーは盗まれた資金をクロスチェーンブリッジ経由でイーサリアムのメインネットに送金した。その後、資金は0xe40アドレスに移動され、トルネード・ミキサー・プロトコルを使用して隠された。 DeFiデータプラットフォームDefiLlamaのデータによると、攻撃後、Velocoreのロックされた総価値は前日の1,016万ドルから83万5,000ドルに急落し、92％減少した。 Velocoreチームはこの攻撃を受けて、セキュリティ・レビュー・レポートを発表した。報告書では、バランサー型CPMMプールの契約の脆弱性が攻撃の原因であると特定した。報告書には、様々なファンドのセキュリティ状況が詳細に記されていた： - VelocoreのLineaおよびzkSync Eraチェーン上のすべてのCPMMプールが影響を受けた。 - 安定プールは影響を受けなかった。 - Telos チェーンの Velocore にも同じ問題がありましたが、悪用される前にチームが対処しました。 - BlastチェーンのBladeswapはVelocoreのコアコントラクトを使用しているが、CPMMプールではなくXYKプールを使用しているため、このコントラクトの脆弱性の影響を受けなかった。 報告書によると、攻撃者はまずTornadoミキサープロトコルから資金を入手し、コントラクトの脆弱性を誘発する条件を満たした。その後、フラッシュローンを使用して流動性プロバイダー（LP）トークンを入手し、トークンの大半を引き出して流動性プールのサイズを大幅に縮小した。その後、攻撃者はトークンコントラクトの脆弱性を悪用し、異常な数の LP トークンを鋳造し、フラッシュローンの返済に使用しました。 この攻撃に対し、Velocoreチームはハッカーを積極的に追跡し、オンチェーンで交渉を試みていると述べた。チームはまた、影響を受けた人々に補償を行い、攻撃前のブロック状態のスナップショットを取ったと述べた。ただし、補償計画はVelocoreが業務を再開した後に実施される。