Il protocollo LI.FI perde $10m nel secondo hack a causa dello stesso vecchio bug
- LI.FI è stato sfruttato per circa $10 milioni in stablecoin.
- Il team ha dichiarato che solo gli utenti che avevano impostato "approvazioni infinite" sono stati colpiti.
- Peckshield sostiene che LI.FI sia stato sfruttato nel 2022 tramite lo stesso bug.
Il protocollo di trading cross-chain LI.FI è stato colpito da "un attacco di iniezione di chiamate", ha segnalato la piattaforma di sicurezza Beosin Alert martedì. Circa $10 milioni in cripto-attività, tra cui 6,3M USDT, 3,2M USDC e 169k DAI, sono stati rubati dal protocollo.
Leggi anche: Kraken rivela un bug che ha permesso a 'ricercatori di sicurezza' malintenzionati di sfruttare $3M
Philipp Zentner, co-fondatore di LI.FI, ha confermato l'incidente su X (ex Twitter), notando che solo gli utenti che hanno impostato manualmente "approvazioni infinite" sono stati interessati. "Per favore, non interagire con nessuna applicazione alimentata da LI.FI per ora. Stiamo indagando su un potenziale exploit", ha scritto Zentner.
LI.FI presumibilmente hackerato tramite lo stesso vecchio bug
La vulnerabilità è stata ricondotta alla funzione "depositToGasZipERC20()" del contratto LI.FI. Secondo l'analisi di Beosin, la funzione può scambiare token specifici per token della piattaforma e depositarli nel contratto GasZip, ma non riesce a limitare i dati per l'invocazione della chiamata, il che consente all'attaccante di prelevare attività dagli utenti che hanno approvazioni per il contratto.
Altrove, un'altra piattaforma di sicurezza, Peckshield, ha segnalato che LI.FI è stato sfruttato anche due anni fa a causa della stessa vulnerabilità. "Mentre analizzavamo l'hack del protocollo LI.FI di oggi, abbiamo notato un hack precedente sullo stesso protocollo il 20 marzo 2022", ha pubblicato Peckshield su X. "Il bug è sostanzialmente lo stesso."
Mentre analizziamo l'attacco di oggi @lifiprotocol, notiamo un attacco precedente allo stesso protocollo il 20 marzo 2022.
Il bug è sostanzialmente lo stesso. https://t.co/YcuEe4efOT
Stiamo imparando qualcosa dalle lezioni del passato? https://t.co/nV4IuX7T7j pic.twitter.com/aVB6FQ3MnT
— PeckShield Inc. (@peckshield) Luglio 16, 2024
Durante l'hack del protocollo LI.FI del 2022, circa $600.000 in attività sono stati rubati e drenati dal protocollo, con 29 portafogli interessati. Il team ha dichiarato in un rapporto post-mortem che il bug è stato corretto e che tutti gli utenti interessati sono stati rimborsati.
Leggi anche: 2024 vede quasi $1.4 miliardi in furti di criptovalute finora
Finora, non ci sono discussioni sul rimborso degli utenti colpiti dall'ultimo hack, almeno al momento della scrittura. Tuttavia, LI.FI ha pubblicato che stanno indagando sull'exploit e ha consigliato agli utenti di non interagire con nessuna applicazione alimentata da LI.FI nel frattempo.
L'incidente di oggi si verifica poco più di un anno dopo che LI.FI ha raccolto $17,5 milioni in un round di finanziamento Serie A per consentire agli utenti DeFi di scambiare su diverse blockchain, piattaforme e bridge. Afferma di aver facilitato oltre $10 miliardi in volume totale di trasferimenti.
Non limitarti a leggere le notizie sulle criptovalute. Comprendile. Iscriviti alla nostra newsletter. È gratuita.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Ibiam Wayas
Ibiam Wayas si occupa di notizie sul crypto dal 2019. Si è laureato in Informatica presso l'Open University of Nigeria. I suoi lavori sono apparsi su varie piattaforme di notizie crypto, tra cui Coinfomania, Crypto News Australia e AltcoinBuzz. Sfruttando il suo background in Informatica, ora si concentra su notizie relative a crypto, robotica e longevità.
