Giełda kryptowalut traci 40 milionów dolarów. Sektor DeFi zastanawia się, jak do tego doszło

Projekt DeFi GMX ma problem – został zhakowany na kwotę ponad 40 milionów USD. Eksperci zastanawiają się, jak dokładnie doszło do ataku. 

• Giełda kryptowalut została zhakowana na 40 mln USD.
• Projekt był audytowany, mimo tego nie wykryto luk.
• Problemem okazała się dźwignia na giełdzie.

GMX okradzione

9 lipca zdecentralizowana giełda GMX potwierdziła, że ​​jej pula GLP V1 oparta na Arbitrum została wykorzystana przez przestępców do kradzieży tokenów o wartości ponad 40 milionów USD.

Atak doprowadził do wstrzymania handlu oraz wybijania i wymiany tokenów GLP zarówno na Arbitrum, jak i w sieci Avalanche.

GMX wyjaśniło, że atak dotyczył wyłącznie wersji V1 i nie miał wpływu na GMX V2, jego token ani inne powiązane rynki.

Chociaż zespół GMX nie ujawnił szczegółów, incydent ten obnaża kruchość nawet audytowanych inteligentnych kontraktów i rodzi pilne pytania o stabilność zdecentralizowanych projektów.

Chodzi o to, że droga atakującego do wykradzenia 40 milionów dolarów z puli GLP V1 GMX była niepokojąco prosta. Według analityków on-chain, exploit polegał na manipulowaniu mechanizmem dźwigni protokołu w celu wybicia nadmiernej liczby tokenów GLP, ale bez odpowiedniego zabezpieczenia.

Chodzi o to, że gdy atakujący sztucznie zawyżył swoją pozycję, wymienił nieuczciwie wybite GLP na aktywa bazowe, pozostawiając pulę bez ponad 40 milionów USD. W ten sposób doszło do kradzieży.

Według Cyvers i Lookonchain, atakujący uciekł już z tokenami – około 9,6 miliona USD w cyfrowych aktywach zostało przetransferowane z Arbitrum do Ethereum za pomocą protokołu Cross-Chain Transfer Protocol firmy Circle, a część z nich została szybko przekonwertowana na DAI.

Wśród wykradzionych aktywów znalazły się ETH, USDC, fsGLP, DAI, UNI, FRAX, USDT, WETH i LINK.

Projekt DeFi był sprawdzany przez różnych niezależnych ekspertów

Przed atakiem kontrakty GMX V1 zostały zweryfikowane przez czołowe firmy audytorskie.

Audyt przed wdrożeniem przeprowadzony przez Quantstamp ocenił kluczowe ryzyka, a ABDK Consulting przeprowadziło dodatkowe testy obciążeniowe.

Jednak żaden z audytów nie wskazał na potencjalną manipulację dźwignią, co ostatecznie umożliwiło obecny exploit.