Хакер вывел из протокола Summer Finance $6 млн

Протокол децентрализованных финансов Summer Finance пострадал от крупного эксплойта — неизвестный вывел криптоактивы на сумму около $6 млн, выяснили специалисты по безопасности блокчейнов компании Blockaid.

Криптотрейдер, использующий в соцсети Х псевдоним Crypto Jargon, выяснил, что хакер применил атаку мгновенного займа, манипулируя ликвидностью в пулах Curve DAI/USDC и Morpho, получив прибыль $6 млн и погасив займ в рамках той же транзакции. Трейдер-аноним посетовал, что атаки с использованием мгновенного займа трудно остановить.

«Злоумышленнику не нужно владеть активами, с которыми он совершает манипуляции. Взломщик занимает миллионы долларов на несколько секунд, временно искажает цену или соотношение ликвидности, извлекает разницу и возвращает займ до завершения транзакции. Если не будет выполнен хотя бы один шаг, атака сорвется, поэтому хакер рискует только комиссией за газ», — объяснил трейдер.

Основатель Phylax Systems Одиссеас Ламцидис (Odysseas Lamtzidis) тоже проанализировал инцидент и предположил, что уязвимость не связана со скомпрометированными ключами или злоупотреблениями администратора. Скорее всего, хакер воспользовался ошибкой, возникшей в протоколе при подсчете балансов и ликвидности хранилища Summer Finance. Для создания эксплойта злоумышленник использовал непроверенный контракт, тогда как уязвимые компоненты протокола были верифицированы, добавил Ламцидис.

В этом году участились хакерские атаки на протоколы DeFi. По данным компании PeckShield, только за июнь хакерам удалось украсть из криптовалютных проектов около $75,8 млн за 40 крупных инцидентов. Большая часть атак пришлась на кроссчейн-мосты, протоколы DeFi и смарт-контракты.

источник