Хакеры атакуют форк Flooring Protocol — Asterix, пока зараза распространяется
- В результате эксплуатации из Asterix, являющегося форком Flooring Protocol, было украдено около 40 000 долларов с использованием той же уязвимости, которая стоила Flooring более 900 000 долларов днём ранее.
- Исследователи-«белые шляпы» во главе с Yuga Labs вернули около 500 000 долларов в NFT из пулов Flooring.
- Серия последовательных атак демонстрирует риски наследования непропатченных уязвимостей безопасности в форках кодовой базы в год, когда потери от эксплойтов в криптоиндустрии уже превысили 340 миллионов долларов.
Сиквел взлома Flooring Protocol от 8 июня произошел сегодня утром, когда Asterix, форк платформы ликвидности NFT, стал жертвой эксплойта, в результате которого было выведено примерно $40 000 активов.
Новости об эксплойте омрачили настроение после того, как исследователи-«белые шляпы» сообщили о помощи в возврате более $500 000 в NFT-активах высшего качества из той же уязвимости контрактов Flooring, которая, как предполагается, была использована для проникновения в Asterix.
Уязвимость Flooring Protocol распространилась на Asterix через форкнутый код
Член компании по безопасности блокчейна BlockSec, Phalcon, одним из первых заметил сходство вектора атаки Asterix и уязвимости, которая позволила злоумышленникам вывести средства из пулов Flooring Protocol 8 июня.
Phalcon заявил, что атака на Flooring Protocol была по сути воспроизведена на Asterix, поскольку последний, по всей видимости, был форкнут с DN404/BT404 — стандарта токенов, сочетающего механики взаимозаменяемых и невзаимозаменяемых токенов.
Первоначальные отчеты об инциденте с Flooring указывали на убытки свыше $900 000 до вмешательства «белых шляп» которые помогли вернуть около $500,000.
Asterix уже подтвердил взлом в заявлении в X, признав, что эксплойт затронул контракт токена $ASTX примерно в 4 часа утра по времени GMT+8. Команда заявила, что проводит расследование и опубликует полный постмортем после завершения анализа.
Как произошел взлом Flooring?
Flooring Protocol, который прекратил операции в прошлом году, позволял пользователям вносить NFT в пулы и получать взаимозаменяемые токены, привязанные в соотношении один к одному к заблокированным активам.
Атака на Flooring Protocol, которая затем начала распространяться, эксплуатировала уязвимость в системе учета в стиле BT404 платформы, которую вице-президент Yuga Labs по блокчейну назвал феноменом «призрачного владения». в X.
Простыми словами, это означает, что кто-то мог использовать один вредоносный ID токена, чтобы пройти одну проверку владения, а затем повторно использовать его для получения другого результата в другой логике учета, что вызывало математическую проблему с балансом токенов.
В данном случае злоумышленник создал почти бесконечный баланс fpTokens — взаимозаменяемых токенов, которые любой может использовать для получения NFT, заблокированных в пулах Flooring.
Yuga Labs усиливает усилия «белых шляп»
После того как утечка средств из Flooring стала публичной, генеральный директор Yuga Labs Майкл Фигге заявил, что компания быстро запустила операцию по спасению «белой шляпой», прежде чем другой злоумышленник смог добраться до уязвимых NFT.
Операция по спасению NFT обеспечила сохранность 68 NFT стоимостью около 346 ETH (примерно $570 000 на тот момент), включая 29 NFT из Bored Ape Yacht Club, четыре Mutant Apes, два CryptoPunks, один Azuki, два Elementals, 26 Captains, одну Moonbird и два Doodles.
Проект Super Secret Rare (SSR), обнаруживший свою уязвимость после того, как Asterix был атакован, предупредили пользователей не взаимодействовать с пулом, пока ситуация не будет разрешена.
FreeLunchCapital, разработчик затронутых контрактов Flooring, подтвердил, что эксплойт также затронул BitmapPunks, которые использовали схожий дизайн контрактов. Оба проекта полагались на взаимозаменяемые токены, привязанные в соотношении один к одному к заблокированным NFT, что делало их уязвимыми к тому же пути атаки.
Один взлом за другим
Инциденты с Flooring и Asterix усугубляют мiserable streak of security failures, пронизывающие Web3. Как отмечалось в предыдущих отчетах Cryptopolitan observed in earlier reports, астрономические финансовые потери в апреле привели к увеличению количества отдельных инцидентов в мае, достигнув 60 подтвержденных инцидентов безопасности, в результате которых общие потери составили 68,3 млн долларов по данным Certik. По состоянию на 1 июня PeckShield оценила потери в 340,7 млн долларов в результате 14 взломов мостов и кросс-чейн протоколов.
Форкнутые протоколы создают свои собственные проблемы. Когда проекты-потомки копируют код без его аудита, одна уязвимость в базовом коде может быть воспроизведена на нескольких уровнях, как это произошло в случае с Flooring и Asterix.
Yuga Labs заявила, что спасенные NFT будут возвращены после того, как разработчики Flooring Protocol завершат исправление. 0xQuit предупредил пользователей не вносить новые NFT в Flooring, пока уязвимость не устранена. Для держателей Asterix убыток в размере $40 000 меньше по масштабу, но команда пока не сообщала, возможно ли какое-либо восстановление средств.
Самые умные крипто-энтузиасты уже читают нашу рассылку. Хотите присоединиться? Присоединяйтесь.
Часто задаваемые вопросы
Что такое Asterix и как он связан с Flooring Protocol?
Asterix — это проект, который создал форк своей кодовой базы из Flooring Protocol и стандарта токенов DN404/BT404. Общая кодовая база означала, что та же уязвимость, использованная против Flooring 8 июня, могла быть применена к Asterix на следующий день.
Сколько средств было потеряно и возвращено в результате эксплойта Flooring Protocol?
Общий ущерб от эксплойта Flooring превысил 900 000 долларов, при этом исследователи-«белые шляпы» вернули NFT стоимостью примерно 500 000 долларов, включая 29 Bored Apes и два CryptoPunks.
Что стало причиной уязвимости в Flooring Protocol?
Согласно вице-президенту Yuga Labs по блокчейну 0xQuit, уязвимость в системе бухгалтерского учёта Flooring по типу BT404 позволила вредоносному ID токена пройти одну проверку владения, но вернуть другой результат при последующем учёте, создав состояние «призрачного владения», которое дало злоумышленнику почти бесконечный баланс токенов на вывод.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com не несет ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимые исследования и/или консультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Ханна Коллимор
Ханна — писатель и редактор с почти десятилетним опытом ведения блогов и освещения мероприятий в криптоиндустрии. В Cryptopolitan Ханна работает над новостной страницей, освещая и анализируя последние события в сферах DeFi, RWA, криптовалютного регулирования, искусственного интеллекта и передовых технологий. Она окончила Университет Аркадии со степенью бакалавра делового администрирования.
