ZkSync 기반 Era Lend, DeFi 익스플로잇으로 340만 달러 손실

zkSync Layer 2에서 작동하는 분산형 대출 프로토콜인 Era Lend는 재진입 공격의 최근 피해자가 되어 340만 달러의 손실을 입었습니다.확인 BlockSec의 보안 분석가가 작성했습니다.

이 공격은 해커가 단일 트랜잭션 내에서 기능을 반복적으로 호출하여 자격이 있는 것보다 더 많은 자금을 인출할 수 있는 읽기 전용 재진입 취약점을 악용했습니다. 공격자는 Era Lend가 의존하는 잘못된 가격 오라클을 이용하여 프로토콜에서 자산을 추가로 빼내기 위해 재진입 익스플로잇을 사용했습니다.

일반적으로 읽기 전용으로 레이블이 지정된 보기 기능은 안전한 것으로 간주되며 계약 상태를 변경하지 않기 때문에 재진입 보호가 부족한 경우가 많습니다. "읽기 전용"이라는 용어는 기능이 타사 풀의 공급을 기반으로 토큰 잔액을 계산하는 것과 같은 보기 작업만 수행함을 나타냅니다. 이 사건에서 제3자는 SyncSwap이라는 또 다른 탈중앙화 거래소였습니다. 그러나 이 사례에서 알 수 있듯이 이러한 기능을 조작하여 상당한 자금을 빼돌릴 수 있습니다.

BlockSec의 공동 창립자이자 CTO인 Lei Wu는 The Block에 “공격자는 SyncSwap의 소각/민트 작업 중에 LP의 가격을 변경했습니다. "SyncSwap 코드를 사용하는 모든 프로젝트는 경계 상태를 유지해야 합니다."

에라 렌드가 답하다

“우리 플랫폼에서 사이버 공격을 감지하고 확인했습니다. 우리는 공격이 억제되었고 위협 행위자가 더 이상 행동을 계속할 수 없음을 확신하고 싶습니다.”라고 Era Lend는 말했습니다.성명 디스코드에서.

USDC 풀만 손상되고 USDC 이외의 자산 보안은 그대로 유지된다고 밝혔습니다.

팀은 예방 조치로 당분간 USDC 입금을 자제할 것을 사용자들에게 권고했습니다. 또한 플랫폼에서 대출 작업이 일시적으로 중단되었다고 팀은 덧붙였습니다.