Kelp DAO замораживает средства, так как кошелек Gnosis подвергся взлому на $7.8M

Неопознанный кошелек Gnosis Safe был взломан на сумму почти 7,8 млн долларов в rsETH. Атака опустошила ликвидность DeFi, оставив токен и хранилища с бесполезными токенами. 

Атака была зарегистрирована 15 сентября против пользователя кошелька Gnosis Safe, личность которого пока не установлена. Кошелек был взломан на сумму 7,73 млн долларов в rsETH, согласно данным Blockaid. 

Кошелек был опустошен в одной транзакции, забрав эквивалент 2,153 ETH, который позже был разделен и перемещен по нескольким кошелькам. Первоначальная транзакция показывает, что средства в конечном итоге были припаркованы в rsETH, не будучи обмененными на ETH в основной сети для дальнейшего отмывания. 

Это следующий крупный взлом после того, как хакер Bitcoin Pay забрал 4,000 BTC с некастодиальных пользовательских кошельков. За сентябрь децентрализованные взломы и эксплойты уже превысили уровень за весь август.

За последние три месяца эксплойты ускорились с их низких точек, показывая больший интерес к взломам с помощью ИИ и нацеливаясь на накопление ликвидности в протоколах DeFi и конкретных хранилищах. 

За сентябрь было взломано в общей сложности 326 млн долларов, согласно данным DeFi Llama. Большинство атак и эксплойтов были менее 1 млн долларов, что делает недавний взлом кошелька крупнейшим взломом Web3 за сентябрь на данный момент. 

Как был взломан кошелек Gnosis?

Недавний эксплойт включал обернутую форму rsETH, которая затем была преобразована в ETH и перемещена в блокчейн. Серия транзакций показала, что первоначальный злоумышленник и MEV-бот завершили переводы в одном блоке. 

Первоначальный кошелек содержал левериджированный rsETH в Gnosis Safe, который авторизовал белый список модуля Safe в качестве исполнителя стратегии для автоматизации доходов DeFi. Оказалось, что доверенный модуль стал точкой входа атаки. Вызывающий мог эксплуатировать модуль Safe без дополнительной авторизации, поскольку он уже был в белом списке. 

Что делает атаку еще более сложной, так это то, что MEV-бот Yoink опередил злоумышленника и забрал ETH в том же блоке. Бот опередил вывод ETH из rsETH, где средства все еще остаются в форме rsETH. Адрес назначения бота теперь содержит только 44 ETH. 

Затронуты ли другие протоколы эксплойтом?

Адрес назначения бота был отмечен Kelp DAO, что привело к заморозке всех внесенных rsETH. KelpDAO объявил, что адрес будет заморожен в качестве меры предосторожности для предотвращения дальнейших потерь. 

В целях предосторожности мы поместили этот адрес под временную 24-часовую паузу. В течение этого окна rsETH не может перемещаться внутрь или наружу.

Мы тесно сотрудничаем с экспертами по безопасности, чтобы расследовать и решить эту проблему как можно быстрее. Это только мера предосторожности на уровне кошелька, объявила Kelp DAO.

Во время последнего эксплойта Kelp DAO пока избежала потерь, заявив, что все ее хранилища в безопасности. Ранее Kelp DAO потеряла $292M в rsETH, также затронув хранилища Aave. Последний эксплойт является редким случаем перехвата средств до их мостирования в ETH и отмывания через миксер. 

На данный момент бот Yoink служил непреднамеренным белым хакером, спасая средства и позволяя Kelp DAO заморозить адрес назначения. Однако деятельность бота Yoink не гарантирует возврат rsETH. 

По состоянию на 15 сентября rsETH торговался по цене $2,663.68. Однако Kelp DAO также приостановила депозиты и выводы, чтобы предотвратить перемещение средств злоумышленником или ботом из экосистемы.

У DAO уже есть прецедент с предыдущим взломом, где голосование могло отменить некоторые украденные средства. На данный момент адрес назначения заблокирован на 24 часа до принятия решения о возврате средств. 

Недавно Kelp DAO удалось восстановить заблокированную стоимость до $1.06B после месяцев борьбы после недавнего эксплойта. Общее восстановление DeFi и кредитования, с большим количеством средств, доступных в хранилищах, может привести к большему количеству атак Web3 на уязвимые контракты.