Уязвимость смарт-контрактов GMX привела к краже 6,260 ETH

Протоколы децентрализованного кредитования на Magic Internet Money (MIM) были взломаны с похищением 6 260 ETH. Эксплойт не затронул протокол GMX или токены GM, используемые в этих хранилищах, а только определенные узлы ликвидности для децентрализованного кредитования. 

Контракты, связанные с GMX и протоколом кредитования Magic Internet Money (MIM) Spell, были эксплуатированы с похищением 6 260 ETH, которые были заблокированы в связанных хранилищах ликвидности. 

Хранилища децентрализованного кредитования на Arbitrum были взломаны с похищением WETH и ETH; затем средства были переведены через мост Stargate в основную сеть Ethereum для отмывания. Атакующий перевел MIM, USDC, USDC, ETH и WETH, в конечном итоге обменяв все активы в Ethereum для дальнейшего смешивания.

Мост Stargate облегчил перемещение средств, так как он содержал $160M в доступной ликвидности. Arbitrum — редкий выбор для взлома, но все же предлагает несколько вариантов перевода в Ethereum для получения большей ликвидности и возможности обмена.

Украденные средства оказались на трех адресах ETH, которые теперь отслеживаются на предмет дальнейших перемещений или смешивания. Некоторые адреса еще не помечены как принадлежащие к взлому, в то время как исходный адрес был помечен как «Фейковый фишинг» сразу после атаки.

Пользователи GMX не пострадали, средства потеряли только хранилища MIM

Сам GMX лишь предоставил модель для создания хранилищ MIM Abracadabra и использования токенов GM для получения пассивного дохода. GMX объяснил, что его протокол остался надежным и не потерял ETH или другие активы. MIM остается близким к своей отметке в $1, выдержав атаку на уровне $0,99, что является обычным диапазоном для стейблкоина. После новости об эксплойте токены GM упали с $14,70 до $13,37, что соответствует общей тенденции снижения токена. 

https://x.com/GMX_IO/status/1904509326129238479

Проблем с контрактами GMX не обнаружено, и проблема не в технологии проекта. Пользователи GMX не пострадали, затронуты только пулы GMX V2. GMX V2 — это децентрализованная биржа бессрочных фьючерсов с $341,48 млн доступной ликвидности. MIM использует пулы биржи, но пока не объявила о своей точной уязвимости.

Проект утверждал, что эксплойт возник в котлах Abracadabra/Spell, которые являются пулами ликвидности для заимствования под залог токенов GM. 

Команды GMX и MIM, а также другие специалисты по безопасности все еще изучают недостатки в смарт-контрактах, которые позволили хакеру перевести средства за одну транзакцию. Атакующий уже начал перемещать ETH более мелкими партиями по 1 000, отправляя их на альтернативные адреса. 

Пока личность атакующего не установлена, но практика перевода средств в ETH и разделения их на более мелкие кошельки напоминает предыдущие методы, используемые группой Lazarus. Исходные средства также поступили с адреса, связанного с миксером Tornado Cash, который часто предпочитают хакеры из КНДР. Ни один из средств не остался в USDT или USDC, которые можно было бы отследить или заморозить. В настоящее время нет возможности заморозить средства, и дальнейшая торговля или отмывание возможны через протоколы DEX. 

Протокол кредитования Abracadabra Spell — относительно небольшое приложение DeFi на Arbitrum, но все же сумел привлечь хакеров к некоторым из своих пулов, известных как «Котлы» (Cauldrons). Приложение кредитования Abracadabra Spell имеет $48,84 млн ликвидности, в то время как другая версия, Abracadabra, имеет более $52 млн заблокированной стоимости. 

MIM может быть создан через хранилища и использован для дополнительной ликвидности в экосистеме Arbitrum. Биржа MIM Swap имеет дополнительную ликвидность DEX в размере $17,7 млн. Котлы — это просто кредитные пулы, которые позволяют трейдерам выполнять операции по заимствованию или плечу в ончейне, а также погашать свои займы и снижать плечо.

MIM взломали во второй раз

В январе 2024 года MIM также был взломан через смарт-контракт кредитования. Причина заключалась в том, что контракт использовал доли для расчета непогашенного долга. 

Из-за уязвимости в точности вычислений MIM потерял $6.5M, в результате ошибочных флеш-кредитов. Эксплойт основывался на ошибочном расчете суммы владения, что позволило хакеру вывести больше средств. 

На этот раз запись транзакции не показывает флеш-кредитов или других микротранзакций. Хакеру потребовалось некоторое количество средств для взаимодействия с протоколом, в результате чего он получил доступ к стейблкоинам, а также к WETH на Arbitrum.