Хакер Arcadia Finance використав експлойт повторного входу, команда вимагає повернення коштів

У аналітичному звіті розробники Arcadia Finance заявили, що зловмисник викрав кошти, ліквідувавши сховище, перш ніж зміг виконати перевірку працездатності, перериваючи роботу програми нормальний хід операцій.

Новини Приєднуйтесь до нас в соціальних мережах

Згідно з аналітичним звітом, опублікованим 10 липня командою розробників додатка, зловмисник Arcadia Finance використав експлойт повторного входу, щоб викачати 455 000 доларів США з протоколу децентралізованих фінансів (DeFi). «Експлойт повторного входу» — це помилка, яка дозволяє зловмиснику «повторно ввести» контракт або порушити його під час багатоетапного процесу, перешкоджаючи успішному завершенню процесу.

Команда надіслала зловмиснику повідомлення з вимогою повернути кошти протягом 24 годин і погрожувала діями поліції, якщо зловмисник не підкориться.

Post Mortem поточної ситуації, надання технічної інформації та надання додаткової інформації щодо наступних кроків.https://t.co/NPNbbSzKBQ

— Arcadia Finance (@ArcadiaFi) 10 липня 2023 р

Вранці 10 липня було здійснено майнінг Arcadia Finance, у результаті якого було витрачено криптовалюти на суму 455 000 доларів. У попередньому звіті фірми з безпеки блокчейнів PeckShield говориться, що зловмисник використовував «відсутність ненадійної перевірки введення» в контрактах додатка для виведення коштів. Команда Arcadia спростувала це, заявивши, що аналіз PeckShield був помилковим. Однак на той момент команда не пояснила, що, на їхню думку, стало причиною.

Новий звіт Arcadia вказує на те, що функція liquidateVault() програми не містить перевірку повторного входу. Це дозволило зловмиснику викликати функцію до завершення перевірки працездатності, але після того, як зловмисник зняв кошти. У результаті зловмисник міг позичити кошти та не повернути їх, витягнувши їх із протоколу.

Наразі команда призупинила контракти та працює над виправленням, щоб усунути лазівку.

Зловмисник спочатку взяв п...