Хакеры взломали проекты DeFi Agave и Hundred Finance

Хакерам удалось воспользоваться уязвимостью в функции смарт-контракта для поддержки «обернутых ETH» (wETH) в сети Gnosis Chain. Злоумышленники могли продолжать брать криптовалюты в долг до того, как приложения смогли сосчитать долг и обеспечение и прекратить выдавать долговые криптовалюты. Поэтому хакеры многократно использовали одни и те же средства в качестве обеспечения для получения кредитных токенов и, в конце концов, опустошили пулы ликвидности проектов.

На текущий момент известно, что злоумышленники смогли вывести $11 млн в токенах wETH, wBTC, LINK, USDC, wXDAI и Gnosis. При этом вернуть средства практически невозможно, тем более, что хакеры использовали миксер Tornado Cash для отмывания криптовалют.

Разработчик смарт-контрактов под псевдонимом Shegen подчеркнула, что протоколы Agave и Hundred Finance используют тот же код, что и популярный протокол DeFi Aave, в котором заблокировано активов на $18.4 млрд. Скорее всего, разработчики Aave неоднократно проводили аудит и исправили уязвимость, однако сам случай весьма показателен:

«Даже если код выглядит крайне безопасным, и в нем может быть уязвимость, которая порушит ваши надежды. Похоже, нельзя доверять даже самому безопасному коду».

Позднее Shegen провела дополнительное исследование и отметила, что уязвимость была причиной того, что разработчики Agave использовали функцию «небезопасным» путем. Однако, вероятность взлома была не слишком большой. Крупные проекты вроде Curve и Aave проводят дополнительные проверки обеспечения при выдаче кредитов и там такая ситуация невозможна.

Напомним, что на днях была взломана децентрализованная платформа Deus Finance. Злоумышленники украли 200 000 DAO и 1 101.8 ETH, а также другие активы на сумму около $3 млн.