Хакер вывел из DeFi-протокола Deus Finance DAO свыше $13 млн

DeFi-протокол Deus Finance DAO вновь подвергся хакерской атаке. По данным компании PeckShield, злоумышленник вывел из смарт-контрактов активы стоимостью около $13,4 млн, однако сам проект «мог потерять больше».

The @DeusDao was exploited today in https://t.co/USKNHhXeid with ~$13.4M gain for the hacker (The protocol loss may be larger).

— PeckShield Inc. (@peckshield) April 28, 2022

В марте 2022 года неизвестный вывел из протокола около $3 млн, включая 200 000 DAI и 1101,8 ETH. Для этого он воспользовался мгновенными займами — полученные таким образом активы позволили хакеру манипулировать оракулом, определяющим цену в паре USDC/DEI.

По словам аналитиков, 28 апреля был использован схожий вектор атаки.

3/ To illustrate, we use the hack tx and show the key steps below: pic.twitter.com/JyhgYpBmoB

— PeckShield Inc. (@peckshield) April 28, 2022

«Взлом стал возможным благодаря манипулированию ценовым оракулом, который считывает данные из пары USDC/DEI, с помощью мгновенного займа. Манипулируемая цена залога DEI затем использовалась для заимствования и истощения пула. Знакомо звучит?», — написали в PeckShield.

В компании отметили, что для инициализации атаки хакеру потребовалось 800 ETH (~$2,31 млн). Средства он завел через миксер Tornado Cash и отправил в сеть Fantom с помощью кроссчейн-протокола Multichain. Похищенные активы злоумышленник конвертировал обратно в Ethereum.

4/ The initial funds (~800 ETH) to launch the hack are withdrawn from @TornadoCash and tunneled to Fantom via @MultichainOrg. The stolen funds are tunneled back to @ethereum and stay in the hacker’s account https://t.co/crqRXRVuRw. pic.twitter.com/eaa8j5lxtK

— PeckShield Inc. (@peckshield) April 28, 2022

Согласно CoinGecko, из-за инцидента алгоритмический стейблкоин DEI кратковременно терял привязку к доллару США. В моменте цена актива упала до $0,95.

Команда Deus Finance DAO подтвердила информацию о взломе. Разработчики сообщили, что средства пользователей в безопасности, их позиции не были ликвидированы. Операции кредитования с DEI приостановлены, привязка стейблкоина к доллару восстановлена.

The dev team is working on the DEI situation.

1. User funds are safe. No users were liquidated.
2. DEI lending has been temporarily halted.
3. $DEI peg has been restored.

More details to follow.

— DEUS Finance DAO (@DeusDao) April 28, 2022

На фоне взлома котировки нативного токена протокола DEUS обвалились практически на 16%. На момент написания актив торгуется вблизи 510 FTM (~ $504).