[Fitur] Peretas melampaui KPI?

Beberapa peretas menyalahgunakan dan memanfaatkan ratusan juta dana di ekosistem Solana sementara yang lain mengeksploitasi kerentanan pertukaran. Pada saat yang sama, beberapa proyek Web3 juga mengalami kebocoran kunci pribadi dan serangan flash loan.

Monitor Keamanan Beosin EagleEye Web3 menunjukkan bahwa pada waktu pers, total delapan insiden keamanan Web3 terjadi minggu lalu, dengan dampak kumulatif sekitar 120 juta dolar AS.

9 Oktober

1. Xave Finance diretas, menghasilkan peningkatan penerbitan RNBW 1.000 kali lipat.

Pada tanggal 9 Oktober, peretas menerapkan kontrak jahat yang disebut fungsi executionProposalWithIndex() dalam kontrak DaoModule 0x8f90 untuk mengeksekusi proposal. Konten proposal adalah memanggil fungsi mint() , membuat 100.000.000.000.000 RNBW dan mentransfer hak kepemilikan kepada penyerang. Akhirnya si hacker menukarnya dengan xRNBW.

2. Permadani Jumpn Finance ditarik, menarik sekitar 1,15 juta dolar AS ke alamat penyerang.

Penyerang (atau tim) memanggil fungsi 0x6b1d9018() dari kontrak 0xe156 untuk mengekstrak semua aset pengguna dalam kontrak dan menyimpannya di alamat penyerang. Saat ini, 2100 BNB ($581.700) dari dana yang dicuri telah ditransfer ke Tornado.Cash, dan sisa 2058 BNB ($571.128) masih disimpan di alamat penyerang.

11 Oktober

1. Jembatan lintas rantai platform QAN dieksploitasi melalui kunci pribadi yang bocor dan sekitar 1,89 juta dolar AS terkuras darinya.

Pertama, peretas memulai transfer pada BSC menggunakan alamat (0x68e..) lalu memanggil fungsi bridgeWithdraw dalam kontrak jembatan lintas rantai BridgeQANX untuk mentransfer 1444169100 token QANX ke alamat dompet (0xF163...). Serangan sekunder juga dilakukan untuk 1431880339 token QANX. Alamat penelepon dari kedua serangan ini sama dengan pembuat kontrak jembatan rantai silang (0x68e...), sehingga kemungkinan serangan ini disebabkan oleh kebocoran kunci privat.

2. Kontrak swap Rabby Wallet diserang di mana fungsi pertukaran token mereka langsung dipanggil secara eksternal melalui pustaka alamat OpenZeppelin. Para peretas menghasilkan lebih dari $190.000 dolar AS.

Kerentanan panggilan eksternal ini dalam fungsi swap RabbyRouter memungkinkan otorisasi yang mudah bagi siapa saja untuk mentransfer dana hanya dengan memanggil fungsi tersebut. Saat ini, penyerang telah meluncurkan serangan ke berbagai rantai tempat Rabby beroperasi, termasuk Ethereum, rantai BSC, Polygon, Avax, Fantom, Optimis, dan Arbitrum.

3. TempleDAO terkena eksploitasi 2,36 juta dolar AS, sekitar 4% dari total nilai terkunci (TVL).

Fungsi migrateStake TempleDAO dalam kontrak StaxLPStaking mereka tidak memiliki verifikasi izin. Ini memungkinkan siapa saja untuk menarik StaxLP dalam kontrak dengan memanggil fungsi ini. Setelah berhasil mengeksploitasi, peretas menukar semua token StaxLP yang diperoleh dengan ETH.

12 Oktober

1. Proyek The Journey of Awakening (ATK) mengalami serangan flash loan.

Kontrak strategi proyek ATK ditargetkan dengan flash loan dan sejumlah besar token ATK diambil dari kontrak tersebut. Setelah itu, penyerang menukar semua token ATK yang diperoleh dengan BSC-USD, dikonversi ke BNB, dan dikirim ke Tornado Cash, dengan total sekitar US$120.000.

2. Platform perdagangan Solana defi, Mango Markets, diretas melalui manipulasi harga pada token asli MNGO, kehilangan 116 juta dolar AS karena peretas.

Peretas menggunakan dua akun dengan total dana awal 10 juta USDT.

Pada langkah pertama, penyerang menyetor 5 juta USDC ke Mango Markets.

Pada langkah kedua, penyerang kemudian menciptakan posisi 483 juta PlacePerpOrder2 di pasar MNGO-PERP.

Pada langkah ketiga, harga MNGO dimanipulasi, dari $0,0382 menjadi $0,91, dengan melakukan countertrading terhadap posisi mereka menggunakan akun terpisah (akun 2).

Akun 2 sekarang memiliki 483 juta * ($0,91 - $0,03298) = $423 juta, yang memungkinkan penyerang meminjam $116 juta.

13 Oktober

1. FTX Kehilangan Lebih dari 100 juta XEN dan 81 ETH dalam eksploitasi kerentanan pencurian gas.

Peretas menggunakan biaya gas yang dibayarkan oleh FTX untuk mencetak XEN TOKEN dalam jumlah besar.

Peretas menggunakan alamat hot wallet FTX-nya untuk mentransfer sejumlah kecil dana ke alamat kontrak berbahaya (0xCba9...7FD3) dan selanjutnya menggunakan kontrak ini untuk membuat sub-kontrak secara berkelompok.

Karena banyak kontrak dibuat di seluruh serangan, dan setiap kali sub-kontrak dieksekusi, sub-kontrak akan hancur dengan sendirinya, sehingga gambar berikut ditampilkan sebagai contoh.

Pada langkah ketiga, fungsi fallback() subkontrak akan memulai permintaan mint ke kontrak $XEN. Fungsi claimRank() (gambar di bawah) lolos dalam jangka waktu (>= 1 hari) untuk pencetakan, hanya perlu membayar biaya panggilan tanpa biaya lain yang terkait.

Fungsi claimMintRewardAndShare() adalah untuk claim, yang hanya menentukan term tercapai atau tidak (dalam hal ini diset 1 hari oleh hacker), kemudian dapat ditarik tanpa syarat ke alamat manapun. Namun, dalam proses panggilan ini, inisiator transaksi adalah alamat hot wallet FTX, jadi gas dari seluruh proses panggilan dibayar oleh alamat hot wallet FTX, dan alamat $XEN mint adalah alamat penyerang.

Data di atas berasal dari Monitor Keamanan Beosin EagleEye Web3