4 月のスマート コントラクトのエクスプロイト

海洋生物 |損失額: $11,000

BNB チェーンのオーシャン ライフ トークンは、11,000 ドルで悪用されました。攻撃者は当初、フラッシュ ローンを使用してラップされた BNB を借り、これらの資金を交換して $OLIFE トークンを取得しました。エクスプロイト コントラクトには、外部呼び出しが行われる前に合計残高状態が内部で更新されないという脆弱性がありました。プライベートのreflectFee機能により、合計値が969 WBNB相当のOLIFEトークンに減少しました。しかし、プールの残高は正しく更新されず、攻撃者は 1,001 WBNB をスワップして 34 WBNB の利益を上げることができました。

百の金融 |損失額: 700 万ドル

Hundred Finance への攻撃により、700 万ドルの損失が発生しました。ハッカーはフラッシュ ローンを使用し、100 WBTC (hWBTC) の為替レートを操作する目的で、500 WBTCを Hundred Finance の CErc20 コントラクトに寄付しました。攻撃コントラクトは、WBTC 資金を子コントラクトに預け入れ、hWBTC の作成に利用されます。

その後、子コントラクトは 2 ウェイを除く WBTC 資金のほぼすべてを償還し、hWBTC の総供給量は 2 ウェイになりました。その後、攻撃者は 500 WBTC を Hundred の CErc20 コントラクトに寄付しました。これにより、為替レートが 1 ウェイ hWBTC = 250 WBTC 近くまで上昇しました。

このインフレ率を利用して、攻撃者は 1022 WETH と 2 wei の原資産を借りました。 WETH の資金を借りた後、攻撃者は丸め誤差により、以前に Hundred の CErc20 コントラクトに寄付された 500 WBTC を引き出し、最終的にフラッシュ ローンを返済することができました。

憧れのファイナンス |損失額: 1,100 万ドル

Yield Finance は今朝エクスプロイトを受け、yUSDT コントラクトの構成ミスにより、1,100 万ドルを超える損失が発生する可能性がありました。攻撃者はDAI 、 USDC 、およびUSDTをフラッシュ ローンし、資金の一部を使用して Aave v1 レンディング プールで他の人の借金を返済し、Yearn コントラクト内の Aave プールの優先度を下げました。

Yearn コントラクトには、iUSDT の代わりに iUSDC を原資産として使用する Fulcrum のハードコードされた貸し手コントラクト アドレスが含まれていました。これにより、利回りコントラクトで利回りと預金の比率が誤って計算されました。攻撃者は、少量の USDT を入金することで、過剰な量の yUSDT を鋳造することができました。その後、攻撃者は yUSDT を DAI とETH に交換しました。

メタポイント |損失額: 92 万ドル

BNB チェーンの MetaPoint は、預金契約機能の脆弱性により、92 万ドルのハッキングに見舞われました。ユーザーがプールに $POT を入金するたびに、新しいスマート コントラクトが生成され、$META トークンがそこに入金されるため、エクスプロイトが発生しました。新しいスマート コントラクトには、公開されたトークンへの無制限のアクセスを許可する公開承認機能があり、攻撃者はトークンを流出させることができました。 MetaPoint チームはハッキングを発表し、すべての操作を中断しました。

パリバス | パリバス |損失額: $20,000

Paribus への攻撃により、約 20,000 ドルが失われました。攻撃者は、フラッシュ ローンを使用して 200 ETH と 30,000 USDT を借り、そのトークンを Paribus プロトコルに入金しました。入金された資金は、pETH プールから追加の ETH を借りるための担保として使用されました。攻撃者は、pToken の償還機能中に再入可能な脆弱性を悪用しました。 Paribus Post-Mortem の更新によると、非再入可能修飾子は転送前にストレージを更新できませんでした。攻撃者は、デポジットされた pTH 残高を変更せずに、追加の資金を借りることができました。

オリンピックについてもっと知りたいですか？

Olympix は、Web3 保護のパラダイム シフトです。プロアクティブな検出を提供し、コーディング中にスマート コントラクトの脆弱性を特定して優先順位を付けることができます。その直感的な性質により、セキュリティは開発プロセスの不可欠な部分となり、セキュリティ第一の考え方がすべての段階に組み込まれています。

開始するためのリンクを次に示します。

https://www.olympix.ai/ - サインアップしてベータ版に参加できる当社の Web サイト / Discord https://twitter.com/Olympix_ai - エクスプロイト、製品アップデートに関する最新情報を取得

https://tinyurl.com/3fwyhpub - 4 月 25 日のニュースレター、購読して詳細を確認する