Endnu et BSC-projektudnyttelse: $7.2 mio. drænet fra BurgerSwap i et flashlånsangreb

En anden protokol, der anvender Binance Smart Chain, har lidt et sikkerhedsbrud. Denne gang var det den decentraliserede børs BurgerSwap, og gerningsmændene stjal over 7 millioner dollars gennem et flash-låneangreb.

$ 7.2 mio. Drænet fra BurgerSwap

BurgerSwap blev lanceret tidligere i år og er et DeFi-projekt, der gør det muligt for brugere at bytte mellem tokens udstedt på BSC og optjene belønninger for at levere likviditet. Tidligere i dag tog protokollen det til Twitter til fremhæve det sikkerhedsbrud, det havde oplevet.

Det hele skete den 28. maj, og gerningsmændene valgte en ret berygtet og almindelig måde at udnytte protokollen på - gennem et flash-låneangreb. De formår at dræne $ 7.2 millioner fra BurgerSwap via 14 transaktioner.

De oprettede deres egen falske mønt og dannede et nyt handelspar med BURGER - det oprindelige kryptotoken for BurgerSwap. Senere justerede gerningsmændene routingen til - BURGER -> Fake Coin -> Wrapped BNB.

De brugte BURGER / Fake Coin-handelsparret til at genindtaste BurgerSwap gennem Fake Coin og manipulerede antallet af reserve0 og reserve1 i kontrakten, hvilket forårsagede en betydelig prisændring.

Ved at genindtræde i transaktionen igen og handle tilbage til WBNB formåede hackerne at få den ekstra mængde WBNB, der blev indtastet. Som sådan byttede de 6,000 WBNB ($ 2 millioner) fra PancakeSwap og derefter næsten hele WBNB til 92,000 BURGER på BurgerSwap.

6/9

(3) Oprettet par med et falsk token på BurgerSwap og tilføjet 100 falske tokens og 45k $ BURGER at samle;
(4) Byt 100 falske tokens til 4,400 $ WBNB gennem poolen;
(5) På grund af reentrancy i tiden for overførsel af falsk token udførte angriberen endnu en swap fra 45k $ BURGER til 4.4k $ WBNB; pic.twitter.com/SeVcE2bJ6w

- BurgerSwap (@burger_swap) Maj 28, 2021

I sidste ende stjal de 4,400 WBNB ($ 1.6M på det tidspunkt), 22,000 BUSD, 2.5 ETH ($ 6.8K), 432,000 BURGER ($ 3.2M), 142,000 xBURGER ($ 1M) og 95,000 ROCKS.

DeFi-projektet har suspenderet alle sine tjenester fra og med nu vilje “Arbejde sikkert hårdt for at dække brugernes tab.”

Ikke den første

BSC's hurtige vækst siden starten fangede dårlige aktørers opmærksomhed, og antallet af angrebne protokoller, der bruger netværket, er eksponentielt steget i de seneste måneder.

CryptoPotato har rapporteret nogle af eksemplerne, herunder Spartan Protocol. Angrebet fandt sted tidligere i maj og resulterede i tab af over 30 millioner dollars af brugernes midler.

Kort før det var Uranium Finances tur. Den BSC-ansatte automatiserede market maker så omkring $50 millioner stjålet fra sit netværk, men nogle mente, at det faktisk kunne have været et tæppetræk.

Lignende bekymringer kom fra Meerkat Finance efter $30 millioner var drænet fra protokollen i marts i år.