Протокол Onyx снова взломан на $3,8 млн через эксплуатацию курса обмена
- Протокол Onyx обнаружил подозрительную активность: хакер направил вредоносный смарт-контракт на вьюльты с низкой ликвидностью.
- В результате эксплуатации было похищено до 3,8 млн долларов США, из которых уже было обменяно 300 тыс. VUSD.
- Протокол Onyx, как и другие хабы DeFi, унаследовал уязвимости форка Curve Finance и подвержен аналогичным атакам.
Платформа кредитования и заимствования Onyx была эксплуатирована на сумму $3,8 млн. Hub по аудиту безопасности Hacken проанализировал необычную активность на платформе и оценил характер атаки.
Onyx Protocol пострадал от эксплуатации, потеряв $3,8 млн. Атака была осуществлена с помощью специально сгенерированного вредоносного контракта, развернутого всего за несколько минут до вызова Onyx. Хакеру удалось опустошить Virtual USD (VUSD), нативный стейблкоин протокола. Это второй взлом Onyx с 3 ноября 2023 года, когда TVL проекта также рухнул. Эксплуатация привела к дополнительным атакам в социальных сетях с поддельными ссылками, утверждающими, что они защищают активы. Лучший подход — взаимодействовать только с официальными социальными сетями Onyx Protocol.
Onyx объявил, что сам VUSD не затронут и продолжит функционировать. Однако эксплуатация привела к разрушению привязки стейблкоина, несмотря на дополнительное обеспечение. VUSD упал до минимума $0,39 и не восстановил свой номинальный уровень $1 немедленно.
Хотя конечная сумма, которую хакеру удалось вывести, мала, потери протокола могут быть глубже. У токена VUSD номинальное обращение превышает $51M, но его текущая рыночная капитализация составляет $19M.
Onyx столкнулся с точной эксплуатацией своего курса обмена
Одной из причин эксплуатации Onyx была доступность пулов с низкой ликвидностью. Анализ Hacken показал, что эксплуатация была вызвана ошибкой в расчете курса обмена, когда в некоторых парах низкая ликвидность. Хакер подготовил смарт-контракт для обмена WETH на Onyx ETH (oETH).
Начав с кредита в 2000 WETH от Balancer, хакер перемещался через несколько криптоактивов. В то же время вредоносный контракт спамил Onyx серией низкоценных транзакций ETH. Результат обменов и переводов пулов принес хакеру 3,8 млн VUSD, номинально оцененных в $3,8 млн.
Финальная транзакция вывела 300 тыс. VUSD, которые были обменены на ETH с использованием сплит-сделок CoW Protocol. Транзакции вызвали некоторый проскальзывание, и цена VUSD была ниже номинальной $1, поэтому одна из исходящих транзакций была за $191K.
Другие активы Onyx также пострадали
Серия атак на пулы Onyx затронула несколько активов. Peckshield выявил переводы 4,1 млн VUSD, 7,35 млн Onyxcoin (XCN), 5 тыс. DAI, 0,23 WBTC и 50 тыс. USDT. Все переводы были совершены в одной транзакции, выполненной вредоносным смарт-контрактом.
Onyx — это хардфорк Compound V2, несущий в себе все уязвимости исходного протокола. Сам Onyx уже подвергался атакам аналогичного характера, когда злоумышленники эксплуатировали ошибки в расчетах стоимости и курса обмена для пар с низкой ликвидностью.
Sonne Protocol был взломан в мае из-за тех же известных уязвимостей Compound V2, которые затронули все форки и до сих пор не были устранены. Ошибка проявляется всякий раз, когда протокол запускает новые, не обеспеченные средствами рынки. Появление новых пар в динамичной среде DeFi многократно усилило проблему, что привело к нескольким взломам.
Из-за ошибки в расчетах хакер мог вызывать смарт-контракт протокола и получать значительно большие кредиты в обмен на ничтожно малое обеспечение.
Текущая атака на Onyx имеет схожую структуру с взломом Sonne Protocol: снова была выведена значительная сумма токенов при минимальном обеспечении. Длинная серия из 56 спам-транзакций постепенно снизила курс обмена Onyx, что позволило хакеру вывести все средства при крошечном залоге.
Пока что NFT не пострадали. Протокол Onyx предлагает Bored Ape (BAYC) и Mutated Ape (MAYC) NFT для получения до 37% годовых пассивного дохода. PeckShield также обнаружил уязвимость в контракте проекта NFT, однако она не привела к дополнительным злоупотреблениям.
Атака могла быть совершена недобросовестным сотрудником
Атака на протокол Onyx относительно невелика, даже по сравнению с атаками на отдельные кошельки. Влияние на стоимость VUSD и других активов может быть более значительным. Однако атака может обнажить еще одну серьезную угрозу для криптопроектов — недобросовестных сотрудников.
Взлом протокола Onyx мог быть осуществлен северокорейским хакером выдающим себя за разработчика проекта. Исследователи утверждают, что связались с командой Onyx с потенциальными доказательствами связей с хакерами КНДР.
С другой стороны, уязвимость Compound V2 хорошо известна, и для ее эксплуатации, возможно, не требовались инсайдерские знания.
Материал Cryptopolitan, автор Христина Василева
Не просто читайте новости о криптовалютах. Понимайте их. Подпишитесь на нашу рассылку. Это бесплатно.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com Мы не несем ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимое исследование и/или проконсультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Христина Василева
Христина Василева специализируется на новостях из сферы DeFi, бизнеса и экономики. Она получила степень магистра философии в Софийском университете после четырехлетнего обучения по специальности «Бизнес-администрирование, журналистика и массовые коммуникации». Она работала в одной из ведущих газет страны, освещая вопросы сырьевых товаров и корпоративных финансовых результатов. В настоящее время Христина является внештатным автором новостей в Cryptopolitan.
