Era Lend dựa trên ZkSync mất 3,4 triệu đô la do khai thác DeFi

Era Lend, một giao thức cho vay phi tập trung hoạt động trên zkSync Layer 2, trở thành nạn nhân mới nhất của một cuộc tấn công reentrancy dẫn đến thiệt hại 3,4 triệu USD, nhưđã xác nhận bởi các nhà phân tích bảo mật tại BlockSec.

Cuộc tấn công đã khai thác lỗ hổng truy cập lại chỉ đọc cho phép tin tặc thực hiện các lệnh gọi lặp lại đến một chức năng trong một giao dịch, rút ​​nhiều tiền hơn số tiền mà chúng được hưởng. Lợi dụng lời tiên tri về giá bị lỗi mà Era Lend dựa vào, kẻ tấn công đã sử dụng khai thác reentrancy để rút thêm tài sản khỏi giao thức.

Thông thường, các chức năng xem được gắn nhãn là chỉ đọc được coi là an toàn, thường thiếu khả năng bảo vệ vào lại vì chúng không thay đổi trạng thái của hợp đồng. Thuật ngữ “chỉ đọc” chỉ ra rằng chức năng này chỉ thực hiện một hành động xem, chẳng hạn như tính toán số dư mã thông báo dựa trên nguồn cung của nhóm bên thứ ba. Trong sự cố này, bên thứ ba là một sàn giao dịch phi tập trung khác có tên là SyncSwap. Tuy nhiên, như trường hợp này chứng minh, các chức năng này có thể bị thao túng để bòn rút các khoản tiền đáng kể.

“Kẻ tấn công đã thay đổi giá của LP trong quá trình đốt/đúc của SyncSwap, sử dụng lượng dự trữ của nó để xác định giá LP [trên Era Lend],” Lei Wu, đồng sáng lập và CTO của BlockSec, nói với The Block. “Tất cả các dự án sử dụng mã SyncSwap sẽ luôn được cảnh báo.”

Era Lend trả lời

“Chúng tôi đã phát hiện và xác nhận một cuộc tấn công mạng vào nền tảng của chúng tôi. Chúng tôi muốn đảm bảo với bạn rằng cuộc tấn công đã được ngăn chặn và kẻ đe dọa không thể tiếp tục hành động của chúng được nữa,” Era Lend cho biết trong một tuyên bố.tuyên bố trên Discord.

Nó làm rõ rằng chỉ có nhóm USDC bị xâm phạm, trong khi tính bảo mật của các tài sản khác ngoài USDC vẫn còn nguyên vẹn.

Như một biện pháp phòng ngừa, nhóm khuyên người dùng không nên gửi USDC vào thời điểm hiện tại. Ngoài ra, các hoạt động vay mượn trên nền tảng đã tạm thời bị dừng lại, nhóm nghiên cứu cho biết thêm.