Появился разбор инцидента взлома DeFi-протокола Convergence $210,000
- Convergence опубликовала отчёт о расследовании недавнего взлома.
- Хакер похитил $210,000 в результате эксплуатации уязвимости смарт-контракта протокола DeFi.
- Также хакер присвоил неосвоенные награды Convex на сумму $2,000.
Convergence, DeFi-протокол, стал жертвой взлома, в ходе которого злоумышленники похитили токенов на сумму $210 000 и $2 000 невыплаченных вознаграждений за стейкинг. Convergence разослала посту предупреждение своим пользователям не взаимодействовать с протоколом после того, как появились новости о взломе.
Платформа безопасности PeckShield первоначально поделилась деталями взлома в одном из своих постов в X. Согласно посту, хакер создал (minted) 58 миллионов токенов CVG. После взлома токены были конвертированы в 60 WETH и 15,9 тыс. crvFRAX.
Convergence публикует разбор инцидента
Похоже, @Convergence_fi был только что эксплуатирован (с убытком ~$210 тыс.) для создания 58 млн $CVG (58 718 395,05681812), которые были обменены на 60 WETH и 15,9 тыс. crvFRAX.
Ошибка является частью контракта CvxRewardDistributor, который не проверяет (недоверенные) пользовательские данные для получения вознаграждений.
Вот… pic.twitter.com/EOS7q4reUC
— PeckShield Inc. (@peckshield) августа 1, 2024
Разбор инцидента выявил, что основной причиной эксплуатации стало отсутствие проверки вводимых пользователем данных в функции «claimMultipleStaking» контракта распределения вознаграждений. Согласно отчету, хакер выполнил вредоносный контракт без проверки контрактом стейкинга. Это позволило хакеру создать все токены, которые были зарезервированы для эмиссии стейкинга.
После взлома хакер вылил все вновь созданные токены CVG в пулы ликвидности.
Convergence винит «пост-аудит модификацию» во взломе
В отчете о разборе инцидента Convergence Finance упомянула, что протокол проходил аудит 4 раза различными компаниями. Однако протокол недавно модифицировал скомпрометированную часть кода после аудита.
По словам команды, «Модификация (с одной стороны, оптимизация газа) привела нас к удалению строки кода, которая проверяла вводимые данные для функции. Мы приносим свои извинения сообществу и инвесторам и берем на себя полную ответственность за то, что произошло».
Однако команда заверяет, что все средства пользователей в безопасности. В качестве дополнительной меры предосторожности она также попросила инвесторов вывести свои застейканные активы.
После взлома был эксплуатирован и контракт вознаграждений. В результате стейкеры больше не смогут получать свои вознаграждения. Convergence заявила, что работает над исправлением, и результат будет сообщен в ближайшее время.
В последнее время количество крипто-взломов растет. В индустрии было зафиксировано 16 сообщенных крипто-взломов, которые привели к потере более $266 млн в июле.
Если вы читаете это, вы уже впереди. Оставайтесь с нами, подписавшись на нашу рассылку.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com Мы не несем ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимое исследование и/или проконсультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Вигнеш Карунанидхи
Вигнеш — автор контента о криптовалютах, крипто-журналист, редактор контента и менеджер социальных сетей. Более 6 лет он работал с Watcher.guru, BeInCrypto, CoinGape, Milkroad и Airdrops. Его навыки освещения новостей в сфере технологий, робототехники, бизнеса и ИИ были отточены благодаря степени магистра коммерции.
