Nền tảng cho vay Ethereum XCarnivalđã xác nhận một kẻ xấu đã đánh cắp 3,8 triệu đô la hoặc 3.087 ETH. Theo một báo cáo từ công ty bảo mật trực tuyến Peck Shield, một hacker đã khai thác lỗ hổng trên hợp đồng thông minh của giao thức bằng cách vay ETH và tạo “nhiều lệnh cam kết để cam kết BAYC (Bored Ape Yacht Club NFT) nhiều lần”.
Bài đọc liên quan | Morgan Creek cho biết sẽ tham gia đấu thầu để đảm bảo 250 triệu đô la nhằm chống lại gói cứu trợ FTX BlockFi
XCarnival hoạt động như một nhóm cho vay mã thông báo không thể thay thế (NFT). Nền tảng này cho phép chủ sở hữu NFT gửi tài sản của họ để đổi lấy thanh khoản. Quá trình này bao gồm ba hợp đồng thông minh: trình quản lý NFT, P2Controller để quản lý các hạn chế cho vay và lưu trữ tiền, nhưđã nêu bởi một công ty bảo mật khác Go+ Security.
Tin tặc đã mua mặt hàng 5110 từ bộ sưu tập Bored Ape Yacht Club NFT nổi tiếng trên OpenSea. Sau đó, anh ta gửi tài sản này trên XCarnival và tiến hành một cuộc tấn công để “sử dụng cùng một NFT để vay”.
Nói cách khác, kẻ tấn công đã có thể cầm cố NFT, mượn ETH và sau đó xóa NFT mà không phải trả lại khoản vay. Diễn viên xấu đã hoàn thành quá trình này nhiều lần cho đến khi cạn kiệt hồ bơi.
Go+ Security giải thích rằng hacker đã tạo ra một hợp đồng thông minh Master và một số hợp đồng thông minh “nô lệ” để tiến hành cuộc tấn công:
Sau đó, Slave 5338 rút NFT và gửi lại cho Master, Master sau đó lặp lại quá trình này với các Slave khác. Bằng cách này, họ đã tạo ra nhiều ID đơn hàng, sau này có thể được sử dụng làm thông tin đăng nhập cho vay. Nhưng hợp đồng xNFT bị lỗi đã không thu hồi thông tin xác thực sau khi rút tiền.
XCarnivalvận hành với một lỗ hổng trên các hợp đồng thông minh của nó, đã đề cập ở trên, cho phép tấn công nếu người dùng ở trong một phạm vi nhất định. Go+ Security được thêm vào cuộc tấn công và lỗ hổng hợp đồng thông minh: “Tài sản thế chấp vẫn còn hiệu lực sau khi rút tiền. Đây là một & lỗi ngây thơ trong việc thực hiện hợp đồng.”
Trước cuộc tấn công thành công, giao thức cho vay NFT dựa trên Ethereum đã quyết định cung cấp cho tin tặc một thỏa thuận.
Theo tài khoản Twitter chính thức của mình, XCarnival đã trao cho hacker số tiền thưởng 1.500 ETH hoặc 1,8 triệu USD. Một nửa số tiền bị đánh cắp. Kẻ tấn công chỉ cần trả lại nửa còn lại và họ được giữ số tiền và không phải chịu hậu quả pháp lý.
Nhóm đằng sau nền tảng đã xác nhận rằng hacker đã đồng ý với các điều khoản. Một nửa số tiền bị đánh cắp đã được trả lại cho nhóm. Nền tảng cho vay Ethereum tuyên bố “các cơ quan an ninh đã xác định sơ bộ vị trí địa lý của tin tặc”.
Tuyên bố này dường như gợi ý về những hậu quả pháp lý có thể xảy ra đối với kẻ tấn công, nhưng nhóm đằng sau dự án này vẫn chưa cung cấp thêm thông tin.
7/8 tiền hoàn trảhttps://t.co/oRwSsGgT6Upic.twitter.com/YgXZ9DTj03
- Tal Be'ery (@TalBeerySec)Ngày 27 tháng 6 năm 2022
Đây không phải là lần đầu tiên hacker đồng ý trả lại một phần hoặc toàn bộ số tiền bị đánh cắp. Một số tin tặc tấn công các nền tảng tài chính phi tập trung (DeFi) và thường giữ tiền làm con tin cho đến khi chúng nhận được khoản thanh toán cho thứ mà chúng coi là “dịch vụ”. Các dự án khác kém may mắn hơn và phải trả giá đắt.
Bài đọc liên quan | Harmony treo lơ lửng Phần thưởng 1 triệu đô la để trả lại 100 triệu đô la tiền bị đánh cắp - Đủ chưa?
Tại thời điểm viết bài, Ethereum (ETH) giao dịch ở mức $1.180 với mức lỗ 3% trong 24 giờ qua.
Khám phá cách Green Man Gaming đang cách mạng hóa ngành công nghiệp trò chơi bằng cách chấp nhận Bitcoin. Đọc về ý nghĩa của động thái tiên phong này đối với game thủ và nền kinh tế kỹ thuật số.
BrianKhám phá cách Bitcoin, CBDC và stablecoin đang định hình lại nền tài chính toàn cầu, thách thức sự thống trị của đồng đô la Mỹ và báo trước một kỷ nguyên mới của tiền kỹ thuật số. Đi sâu vào những hiểu biết sâu sắc về tác động, việc áp dụng chúng và bối cảnh pháp lý đang phát triển.
WeiliangKhám phá phân tích chuyên sâu về các cáo buộc của FDIC chống lại Ngân hàng Cross River về các hoạt động cho vay 'không an toàn' và tác động của nó đối với lĩnh vực tài chính và công nghệ tài chính.
MiyukiTheo nghiên cứu, Ai Cập đã đặt mục tiêu giới thiệu một loại tiền kỹ thuật số, E-Pound, do Ngân hàng Trung ương Ai Cập phát hành, với mục tiêu ra mắt vào năm 2030.
AlexNgay cả khi nó lấy lại giá trị đó, có thể hoạt động giao dịch gia tăng trên các quỹ ETF không nhất thiết dẫn đến nhu cầu tăng đối với các sản phẩm giao ngay.
AlexTìm hiểu quyết định của Intermex không sử dụng Ripple để chuyển tiền từ Mexico. Bài viết chuyên sâu này đi sâu vào ý nghĩa của thị trường chuyển tiền, các chiến lược tương phản trong lĩnh vực tài chính và tương lai của tiền điện tử trong chuyển tiền toàn cầu.
BrianKhám phá động thái chiến lược đằng sau việc Binance loại Banco de Venezuela khỏi thanh toán P2P. Hiểu được sự tương tác giữa ngân hàng truyền thống và nền tảng tiền điện tử hiện đại, tác động đến người dùng và thị trường cũng như tương lai của các giao dịch tài chính trong phân tích toàn diện của chúng tôi
WeiliangGiải mã những diễn biến mới nhất: Chính quyền Pháp điều tra một công ty công nghệ nổi tiếng về các hành vi phản cạnh tranh trong lĩnh vực card đồ họa. Đi sâu vào chi tiết của cuộc đột kích và ý nghĩa rộng hơn của nó đối với ngành điện toán đám mây và động lực thị trường. Đọc tiếp để biết phân tích sâu sắc về những phát hiện của Autorité de la Concurrence và vai trò then chốt của công cụ siêu quy mô trong việc định hình tương lai của công nghệ.
MiyukiKhám phá sự phức tạp của các URL thay thế của Binance ở Ấn Độ trong bối cảnh thách thức về quy định. Hiểu ý nghĩa đối với người dùng, phản hồi đổi mới của sàn giao dịch tiền điện tử và tương lai của tiền điện tử trong nước.
WeiliangKhám phá sự tham gia mang tính đột phá của Ripple tại WEF 2024, do Giám đốc điều hành Brad Garlinghouse dẫn đầu. Khám phá cách công nghệ chuỗi khối của Ripple được thiết lập để cách mạng hóa tài chính toàn cầu, từ việc tăng cường các giao dịch xuyên biên giới đến định hình tương lai của quản lý thanh khoản và tài chính bền vững. Hãy tham gia cùng chúng tôi khi chúng tôi đi sâu vào các dự án có tầm nhìn và tác động của Ripple đi đầu trong đổi mới tài chính.
Miyuki