Agave i Hundred Finance zhackowane na 11 mln dolarów

Hacki w świecie DeFi nie są żadną nowością. Tym razem jednak napastnikom udało się wydrenować środki z dwóch protokołów na raz - Agave i Hundred FInance. Ich łupem padły cyfrowe aktywa o wartości 11 mln dolarów. Wśród nich znalazły się tokeny: Wrapped ETH (wETH), Wrapped BTC (wBTC), Chainlink (LINK), USD Coin (USDC), Gnosis (GNO) i Wrapped XDAI (wxDAI). Według danych CoinGecko, po ataku wartość tokena Agave AGVE spadła o 20%. Z kolei natywna kryptowaluta Hundred Finance - HND straciła tylko 3,5%. Od tego czasu jej wartość wzrosła i osiągnęła 24-godzinny szczyt. We wpisie Agave na Twitterze dot. ataku możemy przeczytać: Agave bada obecnie exploit na protokole agave finance. Będziemy was informować, gdy tylko dowiemy się więcej.

Agave is currently investigating an exploit on the agave finance protocol. We will update you as soon as we know more.

— Agave (@Agave_lending) March 15, 2022

Zespół poinformował również o wstrzymaniu wszelkich kontraktów do czasu rozwiązania sytuacji. Deweloperzy Hundred Finance również wstrzymali rynki na czas prowadzenia dochodzenia.

Unfortunately Hundred and Agave have both been exploited on Gnosis chain today. Gnosis team is aware, investigation is ongoing.

All the Hundred markets on all chains paused for now. These are the two transactions: Hundred //t.co/mdtViohijn Agave //t.co/RKB5MVx0O4 — Hundred Finance (@HundredFinance) March 15, 2022

Według analizy on-chain, adres powiązany z napastnikiem wysłał ponad 2100 ETH (5,5 mln USD) do miksera kryptowalut. W ten sposób próbuje on wyprać skradzione tokeny. Deweloper Solidity i twórca aplikacji do obsługi protokołu płynności NFT, Shegen (@shegenerates) w wyniku hacku straciła 225 000 dolarów.

Theres already been a few good threads already (and some bad ones that spoke too soon) on the @Agave_lending and @HundredFinance hacks today. Here’s my analysis & reflection, after just having lost over $225k from the exploit, and explored what happened ?

— Shegen (@shegenerates) March 15, 2022

Jej śledztwo ujawniło, że atak polegał na wykorzystaniu funkcji kontraktu wETH w Gnosis Chain. Umożliwiła ona atakującemu ciągłe pożyczanie kryptowaluty, zanim aplikacje mogły obliczyć dług uniemożliwiający kolejne pożyczki. Napastnik wykorzystywał ten błąd, nieustannie pożyczając środki wykorzystując to samo zabezpieczenie.