Orion Protocol zhackowany na 3 mln USD

Orion Protocol – agregator płynności zarówno dla giełd CeFi jak i DeFi – padł ofiarą hakerów, którym udało się złamać podstawowy kontrakt zarówno na Ethereum, jak i Binance Smart Chain (BSC). Łupem padło ponad 1700 ETH, których łączna wartość w chwili pisania artykułu to ponad 3 miliony dolarów.

---

Kolejny atak reentrancy

Jak wyjaśniła firma PeckShield na Twitterze, czwartkowe włamanie było możliwe “z powodu niepełnej ochrony reentrancy”. Błąd reentrancy odnosi się do sytuacji, gdy osoba atakująca może wielokrotnie wypłacić środki z inteligentnego kontraktu bez żadnych kosztów.

4/ The hack is started first on BSC w/ initial fund 0.4 BNB from @TornadoCash. The ETH hack draws initial fund 0.4 ETH from @SimpleSwap_io. After hack, the gain of 1100 ETH is deposited into @TornadoCash and other 657 ETH stays in the hacker’s account: https://t.co/wGG6RA0qii pic.twitter.com/lRj9HGEgQc

— PeckShield Inc. (@peckshield) February 3, 2023

W tym przypadku haker użył nowo skonstruowanego tokena o nazwie ATK i samozniszczającego się smart kontraktu, aby manipulować pulami Oriona.

Alexey Koloskov, CEO Orion, opublikował wątek wyjaśniający exploit krótko po jego wystąpieniu.

Mamy powody, aby sądzić, że problem nie był wynikiem żadnych niedociągnięć w naszym rdzennym kodzie protokołu, ale raczej mógł być spowodowany przez lukę w mieszaniu bibliotek stron trzecich w jednym z inteligentnych kontraktów używanych przez naszych eksperymentalnych i prywatnych brokerów.

Orion is secure, Orion is strong ?

All users’ funds are safe and secure.

– Staking: secure
– Orion Pool: secure
– Bridge: secure
– Liquidity providers: secure
– Depositless trading: secure

We were notified of an event; here’s a ? on what happened. ?

— Alexey Koloskov (@alexeykoloskov) February 2, 2023

Koloskov zauważył, że zhackowany kontrakt nie miał większego znaczenia dla zwykłych użytkowników. Był bowiem głównie używany przez jednego z jego eksperymentalnych brokerów. Środki użytkowników są więc podobno w 100% bezpieczne.

Mimo to funkcja depozytów została wstrzymana i nie zostanie ponownie otwarta do czasu naprawienia błędu i przeprowadzenia odpowiednich audytów.

Hacki DeFi

Pieniądze skradzione poprzez hacki DeFi rosną z czasem: w 2022 roku skradziono 3,8 miliarda dolarów, przy czym 1,7 miliarda dolarów w kryptowalutach padło łupem samych hakerów z Korei Północnej.

Duża część tych pieniędzy została przejęta przez północnokoreańską grupę Lazarus, która jest podejrzewana o wykonanie włamania do mostu Harmony o wartości 100 milionów dolarów w czerwcu.

Niektóre z najbardziej lukratywnych celów dla hakerów były mostami blockchain – gdzie przechowywane są kryptowaluty wspierające ich tokenizowane warianty działające na innych blockchainach.