White Hat ได้รับ $630k สำหรับการป้องกันข้อผิดพลาด $25M ที่อาจเกิดขึ้นจาก Port Finance ที่ใช้ Solana

Port Finance ซึ่งเป็นโปรโตคอลการให้กู้ยืมแบบ Solana ได้จ่ายเงินรางวัลจำนวน 630,000 เหรียญสหรัฐให้กับแฮ็กเกอร์หมวกขาวที่ช่วยป้องกันไม่ให้เกิดช่องโหว่มูลค่า 25 ล้านเหรียญจากแพลตฟอร์ม บริษัทรักษาความปลอดภัยทางไซเบอร์ Halborn เปิดเผยเมื่อวันพุธ.

แฮ็กเกอร์ได้รับ $450,000 ใน PORT โทเค็นยูทิลิตี้ที่ขับเคลื่อนโปรโตคอลการให้ยืม และ เงินเฟียต 180,000 ดอลลาร์ ถือเป็นการสิ้นสุดโครงการมอบเงินรางวัลของโครงการ 

แฮ็กเกอร์หมวกขาวคือแฮ็กเกอร์คอมพิวเตอร์ที่ใช้ความรู้ด้านเทคนิคและประสบการณ์เพื่อปรับปรุงความปลอดภัยโดยเปิดเผยจุดบกพร่องและช่องโหว่ 

มันเกิดขึ้นได้อย่างไร 

Halborn อธิบายเกี่ยวกับ Twitter หมวกขาวที่ชื่อว่า nojob ได้ค้นพบช่องโหว่ใน Port Finance ที่อาจนำไปสู่การสูญเสีย $25 ล้าน หากถูกเอารัดเอาเปรียบโดยผู้ไม่หวังดี หากสิ่งนี้เกิดขึ้น Port ก็คงเป็นเพียงเหยื่อรายอื่นของการแฮ็ก DeFi ที่ไม่สิ้นสุดในอุตสาหกรรมคริปโต 

แฮ็กเกอร์หมวกขาวค้นพบบั๊กในเดือนมีนาคม ในขณะที่ ท่องอินเทอร์เน็ตและรายงานไปยังแพลตฟอร์มที่ใช้ Solana ทันทีผ่าน ImmuneFi ซึ่งเป็นแพลตฟอร์มให้รางวัลบั๊ก web3 

Halborn ตั้งข้อสังเกตว่าการโจมตี Port เป็นไปได้เพราะการออกแบบโปรโตคอล อนุญาตให้ "กลุ่มสามารถกำหนดอัตราโบนัสสำหรับการชำระบัญชีสินทรัพย์และเกณฑ์ที่ทำให้เงินกู้เสี่ยงต่อการชำระบัญชี" นอกจากนี้ โปรโตคอลยังอนุญาตให้ผู้ชำระบัญชีสามารถถอนได้ถึง “50% ของมูลค่าการยืมของภาระผูกพันและโบนัสที่ระบุ”

ผู้ให้กู้สกุลเงินดิจิทัล DeFi ส่วนใหญ่เสนอสินเชื่อโดยที่อัตราส่วนเงินกู้ต่อมูลค่า (LTV) น้อยกว่าหนึ่ง หมายความว่าหลักประกันนั้นมีค่ามากกว่าตัวเงินกู้เอง เงินกู้สามารถชำระบัญชีได้หากมูลค่าหลักประกันลดลงต่ำเกินไปเนื่องจาก LTV สูง Halborn อธิบาย 

ตัวอย่างเช่น ผู้โจมตีสามารถใช้วิธีนี้เพื่อใช้ประโยชน์จาก Port Finance ได้โดยไปที่ทุนสำรองที่มีอัตราโบนัสสูง R1 และ LTV ต่ำ โดยที่ค่าจะรวมกันมากกว่า 100% จากนั้นฝากเงินบางส่วนไปที่ R1 และอีกจำนวนหนึ่งไปที่ R2 

จากนั้นผู้บุกรุกจะกู้ยืมเงินจาก R2 ซึ่งเป็นจำนวนเงินเดียวกันที่ล็อคอยู่ใน R1 จากนั้นจึงดำเนินการต่อไปเพื่อเคลียร์หลักประกัน R2 ทำให้ภาระผูกพันสามารถชำระบัญชีได้ 

บริษัทรักษาความปลอดภัยทางไซเบอร์ระบุว่า Port Finance ได้แก้ไขข้อผิดพลาดโดย “เปลี่ยนการคำนวณมูลค่าการถอนสูงสุดจาก 50% ให้เป็นไปตามความสัมพันธ์ระหว่างมูลค่าการยืมสูงสุดที่อนุญาตสำหรับภาระผูกพัน มูลค่าการยืมจริง และ L2V ของเงินสำรอง ”

ในขณะเดียวกัน นี่ไม่ใช่ครั้งแรกที่แฮ็กเกอร์หมวกขาวได้รับรางวัลสำหรับการระบุจุดบกพร่อง เมื่อต้นปีนี้ Coinbase แพลตฟอร์มซื้อขายสกุลเงินดิจิทัลชั้นนำได้จ่ายเงินรางวัล $250,000 ให้กับหมวกขาว เพื่อช่วยหลีกเลี่ยงจุดบกพร่อง "การพลิกแพลงของตลาด" ในการแลกเปลี่ยน