התקפת הלוואות פלאש על BNB Chain Nets ברווח שובר שיא של 1.57 מיליון דולר

מתקפת הלוואות הבזק המשמעותית ביותר בשרשרת BNB דווחה ב-11 באוקטובר כאשר בוט MEV השיג רווח ארביטראז' עצום של 1.575 מיליון דולר.

המתקפה, שעברה דרך רשת Pancakeswap DEX, עלתה לבוט המבצע רק עמלה של 4.16 דולר, והותירה לו רווחים אדירים.

התקפת הלוואת פלאש גדולה על רשת BNB

לפי דיווחים, MEV Bot עם כתובת 0x216Ccf בשרשרת BNB התגלה כבעל השיא של רווח הארביטראז' היחיד המשמעותי ביותר בתולדות הרשת.

EigenPhi, חברת בלוקצ'יין מובילה לניתוח נתונים, גילה הפרטים, המאשרים שהרווח העצום נבע מהתקפת מניפולציית מחירים מתוכננת היטב על אסימון BH.

בעיקרו של דבר, התוקף ניצל חיסרון במערכת תמורת כ-1.27 מיליון דולר, והעביר מיד את הכספים למיקסר הפופולרי Tornado Cash.

תוקף זה שאל כמות גדולה של USDT באמצעות מזהה הפונקציה 0x33688938 והוסיף USDT לחוזה.

בתנאים רגילים, יחסי הנזילות עבור החוזה הם בסביבות 1 USDT:100 BH. לאחר מכן, התוקף תמרן את המערכת על ידי החלפה מיידית של USDT עבור BH באמצעות צמד ובהמשך הסיר את הנזילות עם מזהה העסקה 0x4e290832.

החלפה זו השפיעה באופן דרסטי על יחס הסרת הנזילות, והשתנתה לכ-1 USDT:2 BH, ואיפשרה להם למשוך אפילו יותר USDT.

סדרת העסקאות אושרה מאוחר יותר על ידי Beosin, חברת אבטחת בלוקצ'יין ידועה, תוך שימת דגש על אופיה המכוון. התוקף הרוויח סך של 1.575 מיליון דולר בכל התהליך.

$BH האסימון ב-BNB Chain נוצל תמורת ~1.27 מיליון דולר עקב חשד למניפולציה במחיר. הרווחים נשלחו לטורנדו קאש.
Attacker: 0xFDbfcEEa1de360364084a6F37C9cdb7AaeA63464

התוקף השאיל כמות גדולה של $ USDT, ולאחר מכן נקרא 0x33688938() כדי להוסיף $ USDT אל ה… pic.twitter.com/POppQswi7u

— Beosin Alert (@BeosinAlert) אוקטובר 11, 2023

כתובת ה-MV Bot 0x216Ccf נוצרה אולי ב-6 באוקטובר והיא לא פעילה מאז, עד למועד מתקפת הלוואת הבזק. כתובת המונה, 0xFDbfcE, הייתה פעילה ומחזיקה כיום כ-1,000 אסימוני BNB בשווי של 205.8K$.

חידת התקפת הלוואות הבזק

תוקפי הלוואות פלאש יהיו בעיקר לנצל מנגנון הלוואת הבזק לגניבת כספים של משתמשים, כמו במקרה של אסימוני BH. במשמעותה החשופה, הלוואת פלאש אינה התקפה אלא מערכת המאפשרת לאנשים להפיק תועלת ממסחר בארביטראז'.

ב-24 השעות שקדמו לכתיבת הדו"ח הזה, הנתונים של EigenPhi מצביעים על כך שהיו כ-278 הלוואות הבזק ברשת Ethereum. המספר היה 2,435 ו-9,721 ב-7 וב-30 הימים האחרונים, בהתאמה. למעלה מ-2.2 מיליארד דולר בשווי עסקה היו הלוואות בזק ב-30 הימים האחרונים, דבר המצביע על שימוש ממושך במנגנון זה.

עם זאת, רמאים רבים מינפו הלוואות פלאש כדי לפגוע במערכות קריפטו ו לגנוב ממשקיעים, כמו במקרה שהוזכר לעיל. ביוני השנה, פרוטוקול DeFi המכונה Sturdy Finance הפסיד 442 ETH בשווי 800K$ באמצעות פריצות שונות, כולל התקפת הלוואת פלאש.