مخترق يستخدم عقداً غير موثوق لسحب 1.4 مليون دولار من صناديق عملة CUT

ووفقاً لشركة CertiK، استخدم حساب المهاجم دالة غير مقروءة لنقل 1.4 مليون دولار من BSC-USD دون حرق الرموز المكافئة من LP. وكشفت منصة تحليلات البلوك تشين والأمن السيبراني أن BSC-USD تم تصريفه في 10 سبتمبر من صندوق سيولة يحتوي على رموز CUT.

زعمت CertiK أن عقد رمز CUT اعتمد على عقد منفصل غير موثق لتعيين "معامل العائد المستقبلي"، مما مكن من استخراج BSC-USD عبر طرق غامضة في أربع معاملات منفصلة. ووفقاً لـ CertiK، اختلف رمز CUT المستغل عن مشروع Crypto Unit الذي يحمل نفس الرمز المميز ولكن يقع على عنوان مختلف ينتهي بـ "36a7" على شبكة Binance Smart Chain. وكانت الزوج المتأثر هو "0x83681F67069A154815a0c6C2C97e2dAca6eD3249"، وفقاً لنتائج CertiK.  

استغلال رموز CUT يؤدي إلى خسائر تزيد عن 1.4 مليون دولار

#CertiKInsight 🚨

لقد رأينا استغلالاً عبر قرض فلاش يتضمن رمز CUT

BSC: 0x7057F3b0F4D0649B428F0D8378A8a0E7D21d36a7

يستخدم عقد CUT دالة ILPFutureYieldContract(_lpFutureYieldContractAddress) عند العنوان 0x0917914b0A70ee7F1f2460Fcd487696856E31154، وهو غير موثق ويحتوي على… pic.twitter.com/ycE4Px3Nxy

— CertiK Alert (@CertiKAlert) سبتمبر 10، 2024

كشفت CertiK عن استغلال عبر قرض فلاش يتضمن عقد رمز CUT باستخدام "ILPFutureYieldContract(_lpFutureYieldContractAddress) عند 0x0917914b0A70ee7F1f2460Fcd487696856E31154"، وهو غير موثق ويحتوي على وظائف مخفية. وأكدت منصة الأمن السيبراني أن المهاجم استغل CUT باستخدام FutureYield للحصول على ما يقرب من 1.4 مليون دولار من زوج BUSD-CUT على PancakeSwap. وأكدت CertiK أن الأموال كانت محتجزة حالياً عند "0x5766d1F03378f50c7c981c014Ed5e5A8124f38A4".

أفادت CertiK بأن الصندوق المصروف كان جزءاً من منصة Pancakeswap، ولكن لم تتأثر صناديق أخرى من Pancakeswap. بيانات البلوك تشين كشفت التي أظهرت أن المهاجم نفذ أربع معاملات منفصلة لإزالة 1,448,974 دولار من صندوق BSC-USD. وأكدت CertiK أنها تم تنبيهها من المعاملة غير المشروعة لأن المهاجم لم يقم بأي إيداعات في الصندوق ولا يملك أي رموز لمقدمي السيولة. 

ووفقاً لتقرير CertiK، اتصل المهاجم بالدالة "0x7a50b2b8" التي لم تكن موجودة في عقد الرمز المميز. وكشف التقرير أن المهاجم كان يجب أن يستدعي "ILPFutureYieldContract()"، مما مكن من استدعاء دالة أخرى على عقد منفصل تماماً وغير موثق ينتهي عنوانه بـ "1154"، ويعرض فقط بايت كود غير مقروء. في هذه الحالة، خسر مقدمو سيولة CUT مجتمعين 1.4 مليون دولار بسبب الاستغلال.

استغلالات العملات المشفرة في ارتفاع في عام 2024 مع خسائر تتجاوز 310 مليون دولار في أغسطس

بيانات من CertiK أظهرت أن أكثر من 310 مليون دولار فقدت بسبب مزيج من الاختراقات والاحتيال والاستغلال في أغسطس 2024. وأكدت البيانات أن هذا كان ثاني أعلى خسارة شهرية في عام 2024. ووفقاً للبيانات، فقد حوالي 0.8 مليون دولار بسبب عمليات الهروب، و1.2 مليون دولار بسبب القروض الفلاشية، و308.8 مليون دولار بسبب الاستغلال، بينما تم استرداد 10.3 مليون دولار فقط. 

كشفت بيانات CertiK أن ضحايا التصيد فقدوا ما مجموعه 293 مليون دولار. ومن الملاحظ أن أعلى هجمات القرض الفلاشي في أغسطس أسفرت عن خسائر لـ Vow (1.2 مليون دولار)، وMintStakeShare (33.5 ألف دولار)، وSatoshi (5 آلاف دولار)، بينما أسفرت أعلى عمليات الهروب عن خسائر لرمز Grimace (649 ألف دولار)، وSigma (136 ألف دولار)، ورمز Mbappe (88 ألف دولار). وكانت أعلى الاستغلال في أغسطس قد تعرض لها شبكة Ronin (11.8 مليون دولار)، وNexera (448.8 ألف دولار)، وConvergence (210 ألف دولار)، وiVest DAO (172 ألف دولار)، وAAVE Periphery Ctr (64 ألف دولار).

كشفت Immunefi أن أكثر من 1.2 مليار دولار فقدت على يد مخترقي العملات المشفرة في عام 2024، مما يمثل ارتفاعاً بنسبة 15.5% مقارنة بالفترة نفسها من عام 2023.