התקפת הלוואות בזק קורן מובילה להפסד של 4.5 מיליון דולר

פרוטוקול הלוואות צולבות שרשרת Radiant Capital ספג פריצה שהביאה לאובדן של 1,900 ETH, שווה ערך לכ-4.5 מיליון דולר, על פי חברת האבטחה והאנליטיקה הבלוקצ'יין PeckShield Inc.

Radiant Capital פועלת כפרוטוקול הלוואות והלוואות מבוזר הכולל פונקציונליות צולבת שרשרת שנבנתה באמצעות טכנולוגיית LayerZero. נכון למאוחר נתונים מ-DefiLlama, לפרוטוקול יש כ-315 מיליון דולר בשווי כולל נעול.

קורן הון חוקר התקפת הלוואות פלאש

PeckShield הסביר את תקרית Radiant Capital כשההאקר מנצל חלון זמן שש שניות בלבד לאחר הפעלת שוק USDC חדש במערכת ההלוואות.

התוקף ניצל "בעיית עיגול" בבסיס הקוד, מה שהוביל לשגיאות דיוק מצטברות. פרצה זו אפשרה להם להרוויח באמצעות פעולות הפקדה ומשיכה חוזרות ונשנות, כפי שנאמר בפוסט ב-X.

הפריצה של היום @RDNTCapital מביא לאובדן של 1.9 אלף את' (~4.5 מיליון דולר).

הסיבה השורשית אינה חדשה: היא בעצם מנצלת חלון זמן כאשר שוק חדש מופעל בשוק הלוואות (מחולק מהמתחם/Aave הפופולרי). הניצול מסתמך גם על עיגול ידוע... https://t.co/XogWUVO3po pic.twitter.com/x5X9ql8AGA

- PeckShield Inc. (@peckshield) ינואר 2, 2024

Radiant Capital, שהתייחסה לנושא ב-X, הזכירה שמועצת Radiant DAO השעתה זמנית את שווקי ההלוואות וההלוואות ב-Arbitrum.

הפרוטוקול הודה כי התקרית היא תוצאה של "בעיה עם שוק ה- USDC המקורי החדש ב-Arbitrum". זה מבטיח למשתמשים שדוח נתיחה שלאחר המוות יפורסם ברגע שהבעיה תיפתר.

היום קיבלנו דיווח על בעיה בשוק ה- USDC המקורי החדש ב-Arbitrum. לאחר אימות על ידי מפתחי Radiant וקהילת האבטחה הרחבה יותר של Web 3, מועצת Radiant DAO השהתה את שווקי ההלוואות/הלוואות בארביטרום באופן זמני בזמן שזה...

— Radiant Capital (@RDNTCapital) ינואר 3, 2024

הפוסט של Radiant Capital הדגיש כי הכספים הנוכחיים אינם בסיכון והבטיח למשתמשים שהפעילות תחזור לשגרה לאחר סיום החקירה.

עם זאת, בתוך המצב הזה, חשבונות Radiant Capital מזויפים ב-X השתוללו, והפיצו קישורי פישינג במסווה של סיוע למשתמשים בביטול אישורים, ויצרו אתגרים נוספים בניהול התוצאות של פרצת האבטחה.

התקפות הלוואות פלאש הופכות להשתוללות

התקפות הלוואות פלאש ממשיכות להציב אתגרי אבטחה במערכות אקולוגיות שונות של בלוקצ'יין. ב-12 באוקטובר 2023, DeFi Protocol Platypus Finance סבל מתקפת הלוואות בזק שהובילה להפסד של יותר מ-2 מיליון דולר.

החקירה של CertiK לאחר מכן על התקרית העלתה ששתי ישויות זדוניות גנבו AVAX עטוף (WAVAX) בשווי של כ-1.3 מיליון דולר וכ-913,000 דולר ב-AVAX (sAVAX). העבריינים כוונו במיוחד למאגר הנזילות של AVAX-sAVAX.

בשרשרת BNB, ב-11 באוקטובר 2023, א תוקף שימוש בבוט של Miner Extractable Value (MEV) הוציא לפועל רווח ארביטראז' משמעותי בהיקף של 1.575 מיליון דולר. מוקדם יותר, ביוני אותה שנה, פרוטוקול פיננסים מבוזר (DeFi) בשם Sturdy Finance חווה פריצות מרובות, שהביאו לאובדן של 442 ETH בשווי 800,000 דולר.