Nền tảng NFT Omni đã bị hack để đánh cắp 1300ETH

Nguồn: https://blockchain.news/news/nft-lender-omni-hacked-for-1300-eth

Nền tảng thị trường tiền tệ Omini NFT cho phép người dùng đặt cược NFT của họ (thường là các bộ sưu tập NFT phổ biến như Câu lạc bộ du thuyền Bored Ape) trên nền tảng để nhận các mã thông báo như ETH.

Trong khi tin tặc đã đánh cắp được hơn 13 triệu wETH (1,4 triệu đô la) – phiên bản giao dịch ERC20 của ETH – Omni cho biết hành vi trộm cắp không ảnh hưởng đến tiền của khách hàng. Công ty nói thêm rằng chỉ các quỹ thử nghiệm nội bộ mới bị ảnh hưởng vì nền tảng này vẫn đang ở chế độ thử nghiệm beta.

Theo Omni, thỏa thuận đã bị đình chỉ để điều tra đầy đủ.

Các dự án được mã hóa trong Solidity có xu hướng trở lại. Nó cho phép tin tặc buộc các hợp đồng thông minh của họ thực hiện các cuộc gọi bên ngoài đến một hợp đồng không đáng tin cậy.

Zhou Yajin, giám đốc điều hành của công ty bảo mật chuỗi khối BlockSec, cho biết tin tặc đã ký gửi Doodles NFT để mượn ETH được bọc (wETH), một phiên bản mã hóa của tiền điện tử được gắn với giá trị của tiền tệ gốc.

Sau khi ký quỹ ký quỹ và thanh lý vị thế, Doodle NFT còn lại trong tài sản thế chấp ban đầu sẽ được trả lại cho kẻ tấn công.

Tin tặc thường sẽ thanh lý các vị thế cho vay vì giá trị của NFT làm tài sản thế chấp không đủ để trang trải vị thế nợ trước khi chức năng gọi lại được gọi. Để giải quyết vấn đề này, tin tặc thường lợi dụng khả năng truy cập lại, vì chúng có thể sử dụng cưỡng bức wETH đã vay để mua thêm NFT trước khi quá trình thanh lý diễn ra.

Ngoài ra, Zhou nói thêm, các tin tặc sau đó đã vay thêm wETH bằng cách sử dụng Doodles NFT có được từ khoản vay ban đầu làm tài sản thế chấp. Tuy nhiên, vì Omni không nhận ra vị trí mới này nên tin tặc đã có thể rút NFT mà không cần hoàn trả khoản vay.

Dữ liệu từ Etherscan cho thấy tin tặc đã rửa tiền thông qua một máy trộn có tên Tornado Cash.