ハッカーが未検証のtracを利用してCUTトークンプールから140万ドルを流出

CertiKによると、攻撃者のアカウントは解読不可能な機能を利用して、140万ドル相当のBSC-USDを、同等のLPトークンをバーンすることなく送金した。ブロックチェーンインサイト＆セキュリティプラットフォームCertiKは、BSC-USDが9月10日にCUTトークンを保有する流動性プールから流出したことを明らかにした。.

CertiKは、CUTトークンtracが「将来利回りパラメータ」を設定するために別の未検証tracに依存しており、4つの別々のトランザクションで不可解な方法でBSC-USDのtracが可能になったと主張しました。CertiKによると、悪用されたCUTトークンは、同じティッカーシンボルを持つCrypto Unitプロジェクトとは異なるものでしたが、 Binance Smart Chain上の「36a7」で終わる別のアドレスにありました。CertiKの調査結果によると、影響を受けたペアは「0x83681F67069A154815a0c6C2C97e2dAca6eD3249」でした。.  

CUTトークンの不正利用により140万ドル以上の損失が発生

#CertiKInsight 🚨

CUTトークンを使ったフラッシュローンの悪用を確認した。

BSC: 0x7057F3b0F4D0649B428F0D8378A8a0E7D21d36a7

CUTtractractractractractractractractractractractractractractractractrac)を0x0917914b0A70ee7F1f2460Fcd487696856E31154で使用しており、…が含まれています。 pic.twitter.com/ycE4Px3Nxy

— CertiK Alert (@CertiKAlert) 2024年9月10日

CertiKは、CUTトークンtracを利用したフラッシュローン攻撃を発見しました。この攻撃は、「ILPFutureYieldContract(_lpFutureYieldContractAddress) at 0x0917914b0A70ee7F1f2460Fcd487696856E31154」という未検証のアドレスを使用しており、隠された機能が含まれていました。CertiKは、攻撃者がFutureYieldを使用してCUTを操作し、BUSD-CUTパンcake ペアから約140万ドルを不正に取得したことを確認しました。CertiKは、この資金が現在「0x5766d1F03378f50c7c981c014Ed5e5A8124f38A4」に保管されていることを確認しました。

CertiKは、資金が流出したプールはPancakecakecakecakecakecakecakecakecakeswapプールには影響がなかったことを明らかにした。ブロックチェーンのデータ による と、攻撃者は4つの別々のトランザクションを実行して、BSC-USDプールから1,448,974ドルを引き出していた。CertiKは、攻撃者がプールに預金しておらず、流動性プロバイダーのトークンも所有していなかったため、不正なトランザクションを察知できたと主張している。 

CertiKのレポートによると、攻撃者はトークンtracに存在しない「0x7a50b2b8」関数を呼び出しました。レポートによると、攻撃者は「ILPFutureYieldContract()」を呼び出し、アドレスが「1154」で終わる、全く別の未検証のtrac上の別の関数を呼び出すことが可能になり、読み取り不可能なバイトコードしか表示されなかったことが明らかになりました。このケースでは、CUT流動性プロバイダーは、この脆弱性の悪用により総額140万ドルの損失を被りました。.

2024年には暗号通貨の悪用が増加し、8月の損失は3億1000万ドルを超える

CertiKのデータ 示されています 。このデータは、これが2024年の月間損失で2番目に高い金額であったことを裏付けています。データによると、出口詐欺で約80万ドル、フラッシュローンで約120万ドル、エクスプロイトで3億880万ドルが失われ、回収されたのはわずか1,030万ドルでした。 

CertiKのデータによると、フィッシング攻撃の被害総額は2億9,300万ドルに上りました。特に、8月の主なフラッシュローン攻撃では、Vow（120万ドル）、MintStakeShare（3万3,500ドル）、Satoshi（5,000ドル）が被害を受け、出口詐欺ではGrimaceトークン（64万9,000ドル）、Sigma（13万6,000ドル）、Mbappeトークン（8万8,000ドル）が被害を受けました。8月の主なエクスプロイト被害は、Ronin Network（1,180万ドル）、Nexera（44万8,800ドル）、Convergence（21万ドル）、iVest DAO（17万2,000ドル）、 AAVE Periphery Ctr（6万4,000ドル）でした。.

イミュネフィは、2024年に暗号資産ハッカーによって失われた金額は12億ドルを超え、2023年の同時期と比較して15.5%増加したことを明らかにした。.