$45M ایک فلیش لون اٹیک میں چلا گیا: کیسے سکیمرز نے پینکیک بنی کے سمارٹ کنٹریکٹ کوڈ میں کمزوریوں کا استحصال کیا۔

اس سے قبل آج ہی ڈیفائی پروڈکٹ فارمنگ ایگریگیٹر ، پینکک بنی کو فلیش لون اٹیک کا سامنا کرنا پڑا ، حملہ آور سیکنڈ کے معاملے میں تقریبا$ 45 ملین ڈالر کی رقم سے دور ہوگیا۔

ککر کسی بھی چیز کی خلاف ورزی نہیں کی گئی تھی۔ حملہ آور نے دو چیزوں کا فائدہ اٹھایا: فلیش لون (ڈی ایف آئی میں ایک ایجاد) اور ڈیفائی پلیٹ فارم پر سافٹ ویئر کی کمزوری۔

پس منظر

جمعرات ، 10 مئی کو 34:20 یو ٹی سی پر ، پینسیک بنی ، ڈیفائی پیداوار کے فارمنگ ایگریگیٹر اور بائننس اسمارٹ چین (بی ایس سی) پر بنایا ہوا آپٹائائزر ، فلیش لون حملہ کا سامنا کرنا پڑا جس نے بنی پروٹوکول کے کوڈ کا استحصال کیا۔ ہم ہیک کی تفصیلات میں جانے سے پہلے ، کچھ اصطلاحات ہمیں خود سے آگاہ کرنی چاہ:۔

فلیش لون حملہ: فلیش لون ایک ایسا قرض ہوتا ہے جو بلاکچین پر ایک نیا بلاک بنانے میں لے جانے والے وقت کے اندر بنتا اور لوٹتا ہے۔ یہ ایک ایسا قرض ہے جس میں ادھار لینے والے کو کسی قسم کے خودکش حملہ کرنے کی ضرورت نہیں ہوتی ہے۔ قرض لینے والا جلد ہی رقم پر منافع پلٹائے گا اور نیا بلاک بننے سے پہلے ابتدائی قرض واپس کردے گا۔ فلیش لون حملے میں ، اسکیمر مارکیٹ میں ہیرا پھیری کرنے اور / یا کوڈ میں موجود سافٹ ویئر کی کمزوریوں سے فائدہ اٹھانے کے ل the قرض لے گا۔

خودکار مارکیٹ سازوں (اے ایم ایم): اگرچہ تمام وکندریقرت مبادلہ AMM پلیٹ فارم نہیں ہیں ، لیکن کچھ سب سے مشہور DEX ہیں۔ اے ایم ایم پلیٹ فارم روایتی آرڈر بک کے بجائے پروگرامڈ لیکویڈیٹی پول کا استعمال کرکے کرپٹو کرنسیوں کو خود بخود تجارت کرنے کی اجازت دیتے ہیں ، جو خریداروں اور بیچنے والوں کو ایک ساتھ لاتا ہے۔

لیکویڈیٹی پول: لیکویڈیٹی سے مراد یہ ہے کہ قیمت کا بہت زیادہ اثر کیے بغیر ایک اثاثہ آسانی سے دوسرے میں تبدیل ہوسکتا ہے۔ اے ایم ایم پلیٹ فارم سمریٹ معاہدے کے ذریعہ لیکویڈیٹی پول میں فنڈ جمع کرتے ہیں تاکہ وکندریقرت تجارت ، قرض دینے اور دیگر مالی افعال کو آسان بنایا جاسکے۔ اونیسپلائپ یا پینکیک تبدیلی جیسے وکندریقرت تبادلے کے ل liquid ، لیکویڈیٹی پولز پلیٹ فارم کو آسانی سے چلانے کے اہل بناتے ہیں۔

لیکویڈیٹی فراہم کرنے والے اور ایل پی ٹوکن: لیکویڈیٹی فراہم کرنے والوں کو اثاثوں کے ساتھ لیکویڈیٹی پولز کی فراہمی کے لئے حوصلہ افزائی کی جاتی ہے تاکہ پلیٹ فارم پر ٹوکن آسانی سے تجارت کی جاسکیں۔ مثال کے طور پر ، پول میں ٹریڈنگ کے ذریعے حاصل کی جانے والی فیس کا کچھ حصہ لیکویڈیٹی فراہم کرنے والے کو "ادائیگی" کرنے کے لئے استعمال کیا جاسکتا ہے۔ اس کے علاوہ ، جب لیکویڈیٹی فراہم کرنے والے تالاب میں اثاثوں میں حصہ ڈالتے ہیں تو ، اے ایم ایم پلیٹ فارم خود بخود ایل پی ٹوکن تیار کرے گا ، جو اس کے بعد دوسرے افعال میں بھی استعمال کیا جاسکتا ہے - یا تو اس کے آبائی پلیٹ فارم پر یا دیگر ڈیفائی ایپس پر - تاکہ لیکویڈیٹی فراہم کرنے والے بھی وصول کرسکیں زیادہ سے زیادہ منافع

کل قیمت بند (TVL): وکندریقرت خزانہ کی نمو کو ظاہر کرنے کے لئے ڈی فیکٹو میٹرک کے طور پر استعمال کیا جاتا ہے ، کل ویلک لاک کیپٹل کی مقدار ہوتی ہے جو ڈی ایف ایف میں جمع کی جاتی ہے - اکثر قرض کے وابستہ یا کسی تجارتی تالاب میں لیکویڈیٹی کی شکل میں۔

اب تک ہم کیا جانتے ہیں؟

پینکیک بنی سے 1 بلین ڈالر چوری ہونے کی سابقہ ​​اطلاعات کے برخلاف ، ایگور Igamberdiev، دی بلاک کریپٹو کے ریسرچ تجزیہ کار نے انکشاف کیا کہ حقیقت میں تقریبا approximately 45 ملین ڈالر (114,000،XNUMX WBNB) چوری ہوا ہے۔ حملہ آور نے PancakeSwap (PCS) کے ذریعے فلیش لون کے استعمال کا فائدہ اٹھایا۔

1/6

آج ، بی ایس سی پر بنی فنانس کی جانب سے بنی ٹوکن B 1B + کا اشارہ کیا گیا ، جس کے نتیجے میں M 40M + چوری ہوگیا:

- 114k WBNB (40M))
- 697k بنی

اس وجہ سے ، بنی قیمت 146 6 سے XNUMX $ XNUMX پر گر گئی pic.twitter.com/BBVfWOHgZH۔

- ایگور Igamberdiev (@ فرینک ریسرچر) 20 فرمائے، 2021

ٹویٹس کی ایک سیریز میں، ایگور نے حملہ آور کی کارروائیوں کو چھ مراحل میں تقسیم کیا، جس کی تصدیق پینکیک بنی نے کی۔ پوسٹ مارٹم:

6/6

اس وقت ، حملہ آور نے اعصاب پل کے راستے ایتھریم سے پہلے ہی 10.1k ETH (.23.5 14M) واپس لے لیا ہے ، اور ان کے بی ایس سی ایڈریس پر ایک اور address XNUMXM ہے۔ pic.twitter.com/h9taC5bcPj

- ایگور Igamberdiev (@ فرینک ریسرچر) 20 فرمائے، 2021

1. استحصال کے سلسلے میں بنی USDT-WBNB والٹ میں 1BNB مالیت کی 9.275TNN جمع کی گئی۔ اس ڈپازٹ کے نتیجے میں XNUMX ایل پی پیدا کی گئیں۔
2. فلیش پینس کا استعمال کرتے ہوئے سات پینکیکسول پولس سے 2.3M بی این بی (704 2.9 ملین) اور فور ٹیوب بینک سے XNUMXM USDT لیا۔
3. مرحلہ 7,700 سے پیدا ہونے والے ایل پی ٹوکن کے ساتھ ساتھ ، پینکیکساپ USDT-WBNB پول میں اضافی 2.9،1 بی این بی اور XNUMXM USDT لیکویڈیٹی جمع کرائی۔
4. پینک سوپ USDT-WBNB پول کے توسط سے 2.3M بی این بی کو USDT میں تجارت کی گئی ، بی این بی کے ساتھ تالاب میں سیلاب آ گیا اور پول میں USDTs کی مقدار میں نمایاں کمی واقع ہوئی۔
5. پینکیکیپ USDT-WBNB پول میں ایل پی کے ساتھ ، بنی فنانس کا خیال تھا کہ استحصال کاروں نے بی این بی کی ایک بڑی مقدار کو سسٹم میں شامل کیا ، اس سسٹم کو ٹکسال 7M بنی (1 بلین ڈالر) میں منتقل کردیا۔
6. اس کے بعد ایکسپلویٹر نے 4.8M BUNNY کو 2.3M WBNB اور 2.9M USDT میں فروخت کیا ، جو اس کے بعد وہ مرحلہ 2 میں لیا گیا فلیش لون واپس کرنے میں استعمال ہوتا تھا۔

جیسا کہ پینکیک بنی میں اشارہ کیا گیا ہے "آگے کی منصوبہ بندی کریں۔"تمام والٹ محفوظ ہیں اور کسی بھی والٹ کی خلاف ورزی نہیں ہوئی ہے۔ تاہم، جب قدم 5 سے نیا ٹکڑا بنایا ہوا BUNNY مارکیٹ میں بھر گیا، BUNNY کی قیمت گر گئی۔ پینکیک بنی کے TVL کا ایک حصہ BUNNY میں ہے، اس طرح - جب کہ والٹ کی خود خلاف ورزی نہیں ہوئی تھی - TVL اب بھی کھو گیا تھا۔

اس حملے سے کون چوٹ پہنچا تھا؟

بنیادی ، BUNNY کے حاملین وہ ہیں جنھیں دو واقعات سے اس واقعے سے سب سے زیادہ تکلیف پہنچی۔

• پتلی ہوا سے بنائے گئے 7 ملین بنی ٹوکن کے ساتھ ، موجودہ ٹوکن کم ہوگئے ، جس سے بنی کی قیمت کم ہو گئی۔
• مارکیٹ میں بنی ٹوکن کی فروخت کی وجہ سے ، بنی کی لیکویڈیٹی - آسانی سے جس پر بنی مارکیٹ میں فروخت ہوسکتی ہے - کو پوری طرح سے زپ کر دیا گیا۔

پینکیک بنی نے اپنے "گو فارورڈ پلان" میں ، 1) ٹی وی ایل ، 2) مارکیٹ کیپ اور 3) ہر ایک کو ان کے نقصانات کی جلد از جلد تلافی کرنے کے لئے اٹھائے جانے والے اقدامات کی نشاندہی کی۔

فلیش لون ، فلیش لون حملوں ، اور ڈیفائی پلیٹ فارم کے لئے اس کا کیا مطلب ہے؟

فلیش لون اس لحاظ سے انفرادیت رکھتے ہیں کہ قرض لینے والے بازاروں میں وہیل کی طرح کام نہیں کرسکتے ہیں جس کے بغیر کوئی ذرہ برابر ہوتا ہے ، اس طرح لگ بھگ کسی کو بھی مارکیٹ میں ہیرا پھیری کرنے اور اسمارٹ کنٹریکٹ کوڈز میں پائے جانے والے خطرات کا استحصال کرنے کی صلاحیت مل جاتی ہے۔

کسی بھی ابتدائی صنعت کی طرح ، شروع میں ہی غلطیاں ہوتی ہیں اور صنعت ان قسم کے حملوں سے سبق سیکھے گی۔ اس کے بعد ڈیفائی پلیٹ فارم استعمال کرنے والوں کے لئے محفوظ لین دین کو یقینی بنانے کے لئے سسٹمز اور انفراسٹرکچر کو نافذ اور مضبوط کیا جائے گا۔

ماخذ: https://www.cryptoninjas.net/2021/05/20/45m-gone-in-a-flash-loan-attack-how-scammers-exploited-vulnerabifications-in-pancake-bunnys-smart-contract- کوڈ /