DeFi Exchange KyberSwap از 265,000 دلار Frontend Exploit رنج می برد

بعد از امور مالی منحنی بهره برداری ماه گذشته، صرافی غیرمتمرکز (DEX) KyberSwap به لیست پروژه‌های DeFi ملحق می‌شود تا از یک اکسپلویت جلویی رنج ببرند.

روز جمعه، شبکه Kyber، پروتکل نقدینگی که KyberSwap بر اساس آن ساخته شده است، تایید شده گزارش داد و افزود که حمله به وب سایت آن به سرعت شناسایی و ظرف چند ساعت برطرف شد.

"در ساعت 3.24:7 بعد از ظهر به وقت گرینویچ + XNUMX، ما یک عنصر مشکوک را در قسمت جلویی خود شناسایی کردیم،” شبکه کیبر توییت. "با خاموش کردن ظاهر خود برای انجام تحقیقات، یک کد مخرب را در Google Tag Manager (GTM) خود شناسایی کردیم و بلافاصله آن را غیرفعال کردیم."

طبق نظر شرکت خبر، سارقان توانستند از طریق اسکریپت Google Tag Manager (GTM) جلوی برنامه را به خطر بیاندازند. 

اسکریپت های GTM اغلب توسط وب سایت ها برای ردیابی فعالیت و داده های کاربر برای اهداف تحلیلی استفاده می شود.

هکرها با استفاده از اسکریپت مخرب تزریق شده از طریق GTM، کاربران را وادار به تایید وجوه آنها کردند و آنها را به آدرس هکر.

متأسفانه این اولین باری است که پس از پنج سال یک هک برای ما اتفاق می افتد، اما تیم ما این حادثه را فوق العاده خوب مدیریت کرد. توییت لوی لو، یکی از بنیانگذاران Kyber. ظرف چند ساعت پس از شناسایی هک، ما کد مخرب را شناسایی کردیم (که در حین پرواز از طریق یک js lib معتبر شخص ثالث بارگذاری شده بود)، آن را حذف کردیم.

با این حال، قبل از رفع مشکل، هکر توانست 265,000 دلار توکن های USDC (AMUSDC) دارای بهره Aave Matic را جابجا کند. در چهار معامله. 

Aave در اتریوم و همچنین چندین بلاک چین دیگر از جمله Polygon وجود دارد. توکن بالا نشان دهنده یک استیبل کوین USDC سپرده شده در ادغام Polygon Aave است. هر بار که رمزی مانند این در پلتفرم وام‌دهی سپرده می‌شود، کاربران نسخه سودآور را برای نشان دادن سپرده خود دریافت می‌کنند. 

این نسخه سودآور است که هکرها در سوء استفاده روز جمعه دستگیر کردند.

شبکه کیبر هشدار داد همه کاربران خود را به بررسی دوبار تایید خود را با استفاده از ابزار تایید ارائه شده توسط block explorer، polygonscan.

به نظر می رسد قراردادهای هوشمند پروژه DeFi تحت تأثیر قرار نگرفته است.

جایزه 40,000 دلاری برای استثمارگران KyberSwap

شبکه Kyber برای هکرها جایزه 15 درصدی به ارزش 40,000 دلار در صورت بازگرداندن وجوه دزدیده شده در نظر گرفته است. مابقی وجوه درخواست می شود که به الف منتقل شود آدرس کیف پول توسط شرکت ارائه شده است.

تا لحظه نگارش این خبر، هیچ وجهی برگردانده نشده است. 

این اولین بار نیست که صنعت کریپتو با هک مواجه می شود و آخرین بار نیز نخواهد بود. دو مورد از بزرگ‌ترین هک‌ها در سال جاری رخ داد، ابتدا به شبکه پل اتریوم به سولانا در ژانویه و سپس دوباره به پل رمزنگاری Axie Infinity به نام Ronin در ماه مارس. 

در مجموع، این دو هک به تنهایی 878 میلیون دلار ضرر برای کاربران در آن زمان ایجاد کردند.