Orion Protocol ถูกแฮ็กด้วยเงิน 3 ล้านเหรียญจากการโจมตี Reentrancy

Orion Protocol – ผู้รวบรวมสภาพคล่องสำหรับทั้งการแลกเปลี่ยน CeFi และ DeFi – เห็นว่าสัญญาหลักถูกแฮ็กเมื่อวันพฤหัสบดีจากการปรับใช้ทั้ง Ethereum และ Binance Smart Chains (BSC) 

แฮ็กเกอร์ทำเงินได้มากกว่า 1700 ETH ซึ่งมีมูลค่าสะสมมากกว่า 3 ล้านดอลลาร์ในขณะที่เขียน 

แฮ็คการกลับเข้าใหม่อีกครั้ง

As อธิบาย โดยบริษัทรักษาความปลอดภัยบล็อกเชน PeckShield บน Twitter การแฮ็กเมื่อวันพฤหัสบดีเป็นไปได้ “เนื่องจากการป้องกันการกลับเข้ามาใหม่ไม่สมบูรณ์” ข้อผิดพลาดในการกลับเข้าใช้หมายถึงเมื่อผู้โจมตีอาจถอนเงินซ้ำๆ จากสัญญาอัจฉริยะโดยไม่มีค่าใช้จ่าย 

PeckShield อธิบายเพิ่มเติมว่าฟังก์ชัน swapThroughOrionPool ช่วยให้ใครก็ตามที่มีโทเค็นที่ประดิษฐ์ขึ้นสามารถจี้การโอนเงินเพื่อเข้าสู่ฟังก์ชันฝากสินทรัพย์อีกครั้งได้ สิ่งนี้ทำให้ผู้ใช้สามารถเพิ่มยอดคงเหลือได้โดยไม่ต้องเสียเงินจริง 

ในกรณีนี้ แฮ็กเกอร์ใช้โทเค็นที่สร้างขึ้นใหม่ที่เรียกว่า ATK และสัญญาอัจฉริยะที่ทำลายตัวเองเพื่อจัดการกับพูลของ Orion 

4/ การแฮ็กเริ่มต้นครั้งแรกใน BSC ด้วยเงินทุนเริ่มต้น 0.4 BNB จาก @TornadoCash ครับ. การแฮ็ก ETH ดึงเงินทุนเริ่มต้น 0.4 ETH จาก @SimpleSwap_io. หลังจากแฮ็ก กำไร 1100 ETH จะถูกฝากเข้า @TornadoCash ครับ และอีก 657 ETH อยู่ในบัญชีของแฮ็กเกอร์: https://t.co/wGG6RA0qii pic.twitter.com/lRj9HGEgQc

- PeckShield Inc. (@peckshield) กุมภาพันธ์ 3, 2023

Alexey Koloskov ซีอีโอของ Orion เผยแพร่ ด้าย อธิบายการใช้ประโยชน์หลังจากเกิดขึ้นไม่นาน 

“เรามีเหตุผลให้เชื่อได้ว่าปัญหานี้ไม่ได้เกิดจากข้อบกพร่องใดๆ ในรหัสโปรโตคอลหลักของเรา แต่อาจเกิดจากช่องโหว่ในการผสมไลบรารีของบุคคลที่สามเข้ากับหนึ่งในสัญญาอัจฉริยะที่ใช้โดยโบรกเกอร์ทดลองและโบรกเกอร์ส่วนตัวของเรา ," เขาพูดว่า. 

Koloskov ตั้งข้อสังเกตว่าสัญญาที่ถูกเอาเปรียบไม่ใช่การนำเข้ารายใหญ่สู่สาธารณะ แต่ส่วนใหญ่ถูกใช้โดยหนึ่งในนายหน้าทดลองกับคลังของบริษัท เขากล่าวว่าเงินของผู้ใช้นั้นปลอดภัย 100% 

อย่างไรก็ตาม ฟังก์ชัน Deposit ของ Orion ถูกปิดและจะไม่เปิดอีกจนกว่าจะมีการแก้ไขบั๊กและการตรวจสอบที่เหมาะสมจะเกิดขึ้น 

หม้อน้ำผึ้ง DeFi

เงินที่ถูกขโมยผ่านการแฮ็ก DeFi เพิ่มขึ้นเมื่อเวลาผ่านไป: ในปี 2022 เงิน 3.8 พันล้านดอลลาร์ถูกขโมยไป โดยมี 1.7 พันล้านดอลลาร์ในสกุลเงินดิจิทัล นำ โดยแฮกเกอร์ชาวเกาหลีเหนือเพียงผู้เดียว 

เงินส่วนใหญ่นั้นถูกยึดครองโดยกลุ่ม Lazarus ของเกาหลีเหนือ ซึ่งก็คือ สงสัยว่า ดำเนินการแฮ็กสะพาน Harmony มูลค่า 100 ล้านดอลลาร์ในเดือนมิถุนายน 

เป้าหมายที่ร่ำรวยที่สุดสำหรับการแฮ็ก crypto คือสะพาน blockchain ซึ่ง cryptocurrencies

 ในเดือนตุลาคม Binance Smart Chain (BSC) ถูกหยุดชั่วคราวโดยผู้ตรวจสอบหลังจากแฮ็กเกอร์ขุดเงิน 2 ล้าน BNB (มูลค่า 600 ล้านดอลลาร์ในขณะนั้น) โดยใช้ประโยชน์จากสะพานบล็อกเชน BNB ส่วนใหญ่ได้อย่างรวดเร็ว ปัดออกไป ไปยังเครืออื่นๆ ในภายหลัง