Platform NFT Omni diretas untuk mencuri 1300ETH

Sumber: https://blockchain.news/news/nft-lender-omni-hacked-for-1300-eth

Platform pasar uang Omini NFT memungkinkan pengguna untuk mempertaruhkan NFT mereka (biasanya koleksi NFT populer seperti Bored Ape Yacht Club) di platform untuk mendapatkan token seperti ETH.

Sementara peretas berhasil mencuri lebih dari 13 juta weTH ($ 1,4 juta) - ETH versi transaksional ERC20 - Omni mengatakan pencurian itu tidak memengaruhi dana pelanggan. Perusahaan menambahkan bahwa hanya dana pengujian internal yang terpengaruh karena platform masih dalam mode pengujian beta.

Menurut Omni, perjanjian tersebut telah ditangguhkan untuk penyelidikan penuh.

Proyek yang dikodekan dalam Soliditas cenderung masuk kembali. Ini memungkinkan peretas untuk memaksa kontrak pintar mereka melakukan panggilan eksternal ke kontrak yang tidak dipercaya.

Zhou Yajin, kepala eksekutif perusahaan keamanan blockchain BlockSec, mengatakan peretas menyimpan Doodles NFT untuk meminjam ETH yang dibungkus (wETH), versi token dari cryptocurrency yang dipatok dengan nilai mata uang asli.

Setelah menyetorkan margin dan melikuidasi posisi, Doodle NFT yang tersisa di agunan asli dikembalikan ke penyerang.

Peretas akan sering melikuidasi posisi pinjaman karena nilai NFT sebagai jaminan tidak cukup untuk menutupi posisi utang sebelum fungsi callback dipanggil. Untuk menyiasatinya, peretas sering memanfaatkan reentrancy, karena mereka dapat secara paksa menggunakan kekayaan pinjaman untuk membeli lebih banyak NFT sebelum likuidasi terjadi.

Selain itu, tambah Zhou, para peretas kemudian meminjam lebih banyak kekayaan menggunakan Doodles NFT yang diperoleh pada pinjaman awal sebagai jaminan. Namun, karena Omni tidak mengenali posisi baru ini, peretas dapat menarik NFT tanpa membayar kembali pinjamannya.

Data dari Etherscan menunjukkan bahwa peretas telah mencuci uang melalui mixer bernama Tornado Cash.