DeFi プラットフォームの CoW プロトコルは、コントラクト エクスプロイトで 550 BNB 以上を失います

攻撃者はすでに、盗んだ資金の一部を暗号化ミキサーのトルネード キャッシュに移動しています。

分散型金融 (DeFi) プロトコルの CoW Swap がスマート コントラクトの悪用に見舞われ、約 551 BNB ($181,600) が失われました。

報告によると、攻撃者は CoW Swap の「ソルバー」としてウォレット アドレスを追加し、資産を他のアドレスに移動する前に SwapGuard への DAI 転送を承認するトランザクションを呼び出しました。

和解契約の悪用
ブロックチェーンの調査会社である MevRefund は、今日の早朝に攻撃に最初に気づきました。最大抽出可能値 (MEV) サーチャーつぶやいた CoW Swap の資金が移動され、プロトコルの SwapGuard 機能が許可され、誰でも「任意の関数呼び出し」を行うことができると付け加えました。

1 時間以内に、ブロックチェーン セキュリティ会社 PeckShield明らかに CoW Swap の GPv2Settlement コントラクトが 10 日前にだまされ、SwapGuard の DAI 支出が承認されました。

エクスプロイトの時点で、攻撃者は SwapGuard をトリガーして DAI を GPv2Settlement コントラクトから転送しました。

より詳細な説明では、ブロックチェーン セキュリティ プラットフォーム BlockSec は、攻撃者がウォレット アドレスをマルチシグによるプロトコルのソルバーとして追加したことを明らかにしました。これにより、トランザクションを承認することができます。 DAI の転送は決済契約から承認されているため、利用者は任意のアドレスへの転送も承認できます。

「教訓。任意呼び出しのインターフェースとのコントラクトには何の余裕もありません。0x55a37a2e5e5973510ac9d9c723aec213fa161919 が間違いを犯し、DAI の最大値を SwapGuard に承認しました。これが攻撃の根本原因です」と BlockSec は述べています。言った .

18 万 1,000 ドル以上が Tornado Cash に移動
利用者のアドレスに転送されるトークンには、BNB、USDT、USDC、および ETH が含まれます。これまでのところ、181,000ドルを超える価値のある約551のBNBが、OFAC認可の暗号ミキサーTornado Cashに移されました。

カウスワップ促した 盗まれた資金は過去 1 週間の CoW プロトコルの累積料金であるため、ユーザーは心配する必要はありません。プラットフォームは、問題が軽減され、現在調査中であると述べました。

CoW Protocol は、今月大胆なハッカーの手によって被害を受けた最新の DeFi プラットフォームです。 CryptoPotato は先週、次のように報告しました。オリオン・プロトコル とBonqDAO ハッキングされ、それぞれ 300 万ドルと 1,000 万ドルの損失をもたらしました。