Протокол bZx теряет оценочные $8M из-за еще одной эксплуатации ошибки

Протокол bZx снова был скомпрометирован, когда предполагаемая ошибка в методе дублирования iTokens была использована, что, по сообщениям, привело к потере средств. Однако команда, стоящая за протоколом кредитования децентрализованных финансов (DeFi), устранила уязвимость, заверив, что средства пользователей не находятся под угрозой. Примечательно, что этот недавний инцидент стал третьим случаем, когда bZx подвергался взлому в этом году.

Падение TVL протокола bZx

В воскресенье была сообщена об ошибке в методе дублирования iTokens bZx, которая позволила хакеру искусственно завысить свой баланс. Как сооснователь 1inch.Exchange Антон Буков поделиться в Twitter постом, показывающим 101778 токенов $iETH (стоимостью ~4,7K ETH), которые были продублированы в протоколе bZx примерно в девяти различных транзакциях. Стоимость токенов составляла $1 724 900 по текущей цене ETH в $367.

Команда bZx начала расследование инцидента с дублированием, когда общая заблокированная стоимость (TVL) протокола начала резко падать. Они узнали об инциденте с дублированием нескольких iTokens и немедленно прекратили деятельность в протоколе, временно остановив кредитование и погашение кредитов. После тщательного аудита протокола bZx ведущими компаниями по безопасности Peckshield и Certik, ошибочный метод дублирования был устранен из кода контракта iToken.

В целом, общая потерянная стоимость в протоколе bZx во время инцидента, по сообщениям, составила около 8 миллионов долларов. Команда заверила, что украденные средства были списаны из страховых фондов, поэтому клиентам не нужно закрывать свои кредиты, так как «в настоящее время средства не находятся под угрозой». Тем временем, средства добавленные в страховой фонд, включают 219 199,66 LINK, 4 502,70 ETH, 1 756 351,27 USDT, 1 412 048,48 USDC, 667 988,62 DAI.

Взлом протокола bZx можно было предотвратить

Пользователь Twitter @MarcThalen первым обнаружил ошибку и сообщил об этом команде bZx; однако они не ответили вовремя.

«Прошлой ночью я нашел уязвимость в BRZX. Я заметил, что пользователи могли дублировать „i токены“. Под угрозой было более 20 миллионов долларов. Я сообщил команде, сказав им остановить протокол, и объяснил им суть уязвимости. На тот момент ни один из основателей не был онлайн…»

Он добавил:

«Через некоторое время администратор, с которым я разговаривал, сказал мне, что ему наконец удалось связаться с командой и передать им информацию, которую я им давал. На тот момент я заметил, что атакующий уже вывел значительные суммы Dai и USDC».