Máy đo chi phí vi phạm cầu DeFi gần đây 4,4 triệu đô la

Nền tảng cầu nối mã thông báo Meter Passport đã bị lỗ 4,4 triệu đô la do một vụ hack hợp đồng thông minh, điều này cũng dẫn đến khoản lỗ 3,3 triệu đô la cho Hundred Finance do các khoản vay chưa được thế chấp.

Meter Passport (MTRG) của Meter.io là một cầu nối mã thông báo tương thích với Ethereum và các sidechain của nó. Cuộc tấn công này ảnh hưởng đến Moonriver.

Moonriver là một nền tảng hợp đồng thông minh dựa trên mạng Kusama của Polkadot. Hundred Finance là một nền tảng cho vay tiền điện tử dựa trên mã Compound Finance.

Theo một tuyên bố từ Meter vào ngày 6 tháng 2, tổng cộng khoảng 4,4 triệu đô la đã được đúc bằng BNB và wETH trong quá trình thực hiện một số giao dịch bắt đầu lúc 2 giờ chiều UTC ngày 5 tháng 2 thông qua “giả định tin cậy sai” trong mã. Trong trường hợp này, một lượng ETH tùy ý được gửi vào Meter và tin tặc sử dụng lỗ hổng để đúc mã thông báo.

Cuộc tấn công đã gây ra hiệu ứng xếp tầng trong hệ sinh thái Moonriver dựa trên Kusama. Sau khi làm cạn kiệt nguồn dự trữ BNB và wETH của Meter, kẻ tấn công đã bán BNB trên sàn giao dịch phi tập trung phổ biến SushiSwap. Điều này khiến giá BNB trên Moonriver giảm mạnh 77% vào thời điểm đó.

Nhiều kẻ cơ hội sau đó đã tận dụng giá giảm bằng cách mua BNB với giá rẻ. Họ sử dụng các mã thông báo này làm tài sản thế chấp trên Hundred Finance cho các khoản vay ổn định FRAX và MIM. Tuy nhiên, do sự khác biệt về giá BNB, các khoản vay của họ có giá trị cao hơn tài sản thế chấp mà họ cung cấp, gây ra khủng hoảng nguồn cung.

Thật ngạc nhiên, hai trong số những khoản vay đó đã được hoàn trả, khiến thỏa thuận Trăm bị lỗ 3,3 triệu đô la. Nhóm Trăm đã cố gắng liên hệ với các bên liên quan để yêu cầu họ trả lại mã thông báo BNB được sử dụng làm tài sản thế chấp cho Meter.

Nhóm Meter đã cam kết bồi thường cho cộng đồng của mình và Hundred Finance về những thiệt hại phải gánh chịu do vụ hack. Nhóm cho biết vào ngày 6 tháng 2 rằng họ đã dành ra 4,4 triệu đô la tiền mã thông báo MTRG để trang trải các khoản lỗ ban đầu.

Người sáng lập có bút danh “Vfat” của Hundred Finance cho biết trong một tuyên bố với Rekt News vào ngày 6 tháng 2:

“Meter tất nhiên đã nhận trách nhiệm về vụ hack này và dự định sử dụng mã thông báo gốc của họ để bồi thường bất cứ khi nào có thể và chúng tôi hiện đang ở giai đoạn thu thập địa chỉ và số tiền.”

Công ty bảo mật chuỗi khối PeckShield ước tính rằng tổng cộng 1.391 ETH và 2,74 wBTC đã bị những kẻ tấn công đánh cắp và gửi đến Ethereum, nơi các mã thông báo được lưu thông qua Tornado Cash, một công cụ bảo mật giao dịch ETH.

Hundred Finance đã không trả lời yêu cầu bình luận.

Các chi tiết ban đầu về việc khai thác mã của Meter tương tự như vụ hack Wormhole ngày 3 tháng 2, trong đó 120.000 wETH (321 triệu đô la) đã được đúc và rút một cách độc hại khỏi nền tảng của Wormhole. Trong vụ việc đó, tin tặc đã sử dụng một lỗ hổng trong hợp đồng thông minh để đào wETH theo ý muốn và gửi các mã thông báo đến Ethereum, nơi chúng được rửa thông qua Tornado Cash.