Euler Finance บล็อกโมดูลที่มีช่องโหว่ โดยทำงานเพื่อกู้คืนเงินทุน

โปรโตคอลการให้กู้ยืมเงินแบบกระจายอำนาจ (DeFi) Euler Finance กลายเป็นเหยื่อของการโจมตีเงินกู้แบบแฟลชเมื่อวันที่ 13 มีนาคม ส่งผลให้มีการแฮกคริปโตที่ใหญ่ที่สุดในปี 2023 จนถึงตอนนี้ โปรโตคอลการให้ยืมสูญเสียไปเกือบ 197 ล้านดอลลาร์ในการโจมตีและส่งผลกระทบต่อโปรโตคอล DeFi อื่น ๆ อีกกว่า 11 รายการเช่นกัน

เมื่อวันที่ 14 มีนาคม ออยเลอร์ออกอัปเดตเกี่ยวกับสถานการณ์และแจ้งให้ผู้ใช้ทราบว่าพวกเขาได้ปิดใช้งานโมดูล Etoken ที่มีช่องโหว่เพื่อบล็อกการฝากเงินและฟังก์ชันการบริจาคที่มีช่องโหว่

บริษัทกล่าวว่าพวกเขาทำงานร่วมกับกลุ่มรักษาความปลอดภัยต่างๆ เพื่อทำการตรวจสอบโปรโตคอล และโค้ดที่มีช่องโหว่นั้นได้รับการตรวจสอบและอนุมัติระหว่างการตรวจสอบจากภายนอก ไม่พบช่องโหว่ในการตรวจสอบ

หนึ่งในหุ้นส่วนผู้สอบบัญชีของเรา @Omniscia_secเตรียมการชันสูตรพลิกศพทางเทคนิคและวิเคราะห์การโจมตีโดยละเอียด คุณสามารถอ่านรายงานได้ที่นี่:https://t.co/u4Z2xdutwe

ในระยะสั้น ผู้โจมตีใช้ประโยชน์จากรหัสที่มีช่องโหว่ซึ่งอนุญาตให้สร้างหนี้โทเค็นที่ไม่ได้สำรองไว้… https://t.co/FGnPqvYUGB

— ออยเลอร์แล็บส์ (@eulerfinance) March 14, 2023

ช่องโหว่ดังกล่าวยังคงอยู่ในเครือข่ายเป็นเวลาแปดเดือนจนกว่าจะถูกโจมตี แม้ว่าจะมีการให้รางวัลบั๊กมูลค่า 1 ล้านดอลลาร์ในช่วงเวลานั้นก็ตาม

Sherlock ซึ่งเป็นกลุ่มตรวจสอบบัญชีที่เคยทำงานร่วมกับ Euler Finance ในอดีต ได้ตรวจสอบสาเหตุของการแสวงหาผลประโยชน์และช่วยออยเลอร์ยื่นคำร้อง ภายหลังโปรโตคอลการตรวจสอบได้จัดให้มีการลงคะแนนสำหรับการเรียกร้องเงิน 4.5 ล้านดอลลาร์ ซึ่งผ่านการพิจารณาและดำเนินการจ่ายเงิน 3.3 ล้านดอลลาร์ในภายหลังในวันที่ 14 มีนาคม

ในรายงานการวิเคราะห์ กลุ่มตรวจสอบระบุว่าปัจจัยหลักสำหรับการเจาะระบบคือการตรวจสุขภาพที่ขาดหายไปใน DonateToReserves() ซึ่งเป็นฟังก์ชันใหม่ที่เพิ่มเข้ามาใน EIP-14 อย่างไรก็ตาม โปรโตคอลเน้นย้ำว่าการโจมตียังคงเป็นไปได้ในทางเทคนิคก่อนที่จะมี EIP-14 เกิดขึ้น

ที่เกี่ยวข้อง: มากกว่า 280 blockchains เสี่ยงต่อการถูกโจมตี 'zero-day' เตือนบริษัทรักษาความปลอดภัย

Sherlock ตั้งข้อสังเกตว่าการตรวจสอบออยเลอร์โดย WatchPug ในเดือนกรกฎาคม 2022 พลาดช่องโหว่สำคัญที่นำไปสู่การแสวงประโยชน์ในเดือนมีนาคม 2023

ในทำนองเดียวกัน เชอร์ล็อกยืนอยู่ข้างหลังผู้ตรวจสอบทุกคนที่ตรวจสอบออยเลอร์

เชอร์ล็อคเริ่มทำงานกับ @cmichelio เพื่อตรวจสอบออยเลอร์เวอร์ชันแรกในเดือนธันวาคม 2021 จากนั้น @shw9453 เพื่อตรวจสอบการอัปเดตเล็กน้อยในเดือนมกราคม 2022 และสุดท้ายด้วย @WatchPug_ เพื่อตรวจประเมิน EIP-14 ในเดือนกรกฎาคม 2022

— เชอร์ล็อก (@sherlockdefi) March 13, 2023

นอกจากนี้ ออยเลอร์ยังได้ติดต่อไปยังบริษัทชั้นนำด้านการวิเคราะห์และบล็อกเชนด้านความปลอดภัย เช่น TRM Labs, Chainalysis และชุมชนความปลอดภัย ETH ที่กว้างขึ้น เพื่อเสนอความช่วยเหลือในการสืบสวนและกู้คืนเงินทุน

ออยเลอร์แจ้งว่าพวกเขากำลังพยายามติดต่อผู้ที่รับผิดชอบการโจมตีเพื่อเรียนรู้เพิ่มเติมเกี่ยวกับปัญหา และอาจเจรจาต่อรองเงินรางวัลเพื่อนำเงินที่ถูกขโมยไปกลับคืนมา