Rari Fuze ハッカーが Fei Protocol から 1,000 万ドルの報奨金を提示され、8,000 万ドルの戦利品が返されました

分散型金融 (DeFi) プラットフォームの Fei Protocol は、79,348,385.61 ドル (約 8,000 万ドル) に相当するさまざまな Rari Fuse プールから盗まれた資金の大部分を交渉して回収しようとして、ハッカーに 1,000 万ドルの報奨金を提供しました。

土曜日、Fei Protocol は投資家に多数の Rari Capital Fuse プールにわたる悪用について通知し、ハッカーに 1,000 万ドルの報奨金と「質問なし」のコミットメントに対して盗まれた資金を返すよう要求しました。

さまざまな Rari Fuse プールでのエクスプロイトを認識しています。根本的な原因を特定し、さらなる被害を軽減するためにすべての借用を一時停止しました。

悪用者には、1000 万ドルの報奨金を受け取ってください。残りのユーザー資金を返還する場合は質問は受け付けません。

— フェイプロトコル (@feiprotocol)2022 年 4 月 30 日

エクスプロイトによる正確な損失は公式には発表されていませんが、DeFi 調査会社 BlockSec の監視システムは検出された 8,000 万ドル以上の損失 — 典型的な再入可能脆弱性として根本原因を挙げています。 DeFi エコシステム内の多くの悪用の主な原因は再入バグですが、8,000 万ドルの戦利品により、Fei プロトコルはこれまでで最大の再入ハックの 1 つを悪用しています。

Rari の開発者である Jack Longarzo 氏は、さらなる調査の結果、合計 6 つの脆弱なプール (8、18、27、127、144、146、156) が内部修正の進行中に一時停止されていることを明らかにしました。これを書いている時点で、Rari の内部および外部のセキュリティ エンジニアは、DeFi サービス プロバイダーの Compound Treasury と提携して、ハッキングをさらに調査し無力化しました。

ブロックチェーンの研究者である PeckShield は、開発に関するさらなる洞察を提供し、悪用をリエントラント バグに絞り込みました。これにより、ハッカーは関数を使用し、別の信頼されていないコントラクトへの外部呼び出しを行うことができます。

古い再入可能性のバグが再びコンパウンド フォークにかみ、8,000 万ドルの損失を被りました!今回は exitMarket() 経由で再突入!!!https://t.co/NpC8AAZRXc

EVM 準拠のチェーン内のすべての複合フォークに注意してください。今すぐ監査担当者に連絡するか、何かお役に立てることがあればお気軽にお問い合わせくださいpic.twitter.com/M9JElTWMSd

— PeckShield Inc. (@peckshield)2022 年 4 月 30 日

セキュリティに焦点を当てたランキング プラットフォームである CertiK は、攻撃者が 5400 イーサ (イーサリアム ）、または執筆時点で 15,298,900 ドルをトルネード キャッシュに送金し、22,672.97 ETH、執筆時点で 64,245,245.43 ドルをウォレットに保持しています。 ) 影響を受けません。

昨年 2021 年 5 月 8 日、Rari Capital高額なエクスプロイトの犠牲になった これは、以前の Alpha Finance Lab である Alpha Venture DAO との統合に関連していました。 執筆時点では、調査結果に関する Fei Protocol チームからの公式発表はありません。

関連している：100 万ドルのバグ報奨金を計画し、6 億ドルの Ronin ハッキングを受けてノードを 2 倍にする

仮想通貨コミュニティがハッカーとの絶え間ない戦いを繰り広げているため、多くのプロジェクトやプロトコルがセキュリティ対策を強化することを決定しています。 Th で、Ronin Network と Sky Mavis は、スマート コントラクトをアップグレードする計画を明らかにしました。前月に 6 億ドルのハッキング .

3 月 23 日に発生した Ronin のエクスプロイトに関する事後分析をまとめました。

• なぜそうなったのか
• このようなことが二度と起こらないようにするための取り組み
• Ronin ブリッジ再開のアップデートhttps://t.co/FfwCtCG84E

— ローニン (@Ronin_Network)2022 年 4 月 27 日

米国連邦捜査局 (FBI) は、他の暗号およびブロックチェーン組織に警告を発したため、攻撃は北朝鮮を拠点とし、国家が支援するハッキング グループ Lazurus によるものであると考えました。