Cork Protocol подвергся хакерской атаке, убытки превысили 10 миллионов долларов

28 мая децентрализованная финансовая платформа подверглась атаке хакера, что привело к потере более 12 миллионов долларов. Этот инцидент подчеркивает, что в проектах DeFi по-прежнему существуют уязвимости в области безопасности.

В день происшествия одна из компаний по безопасности первой обнаружила подозрительную активность, связанную с этой платформой, и выпустила предупреждение о безопасности. Затем официальное заявление платформы сообщило, что на ее рынке wstETH:weETH произошел инцидент безопасности, и для предотвращения дальнейших рисков платформа приостановила все остальные рыночные сделки.

Эта платформа предназначена для предоставления функций, аналогичных кредитным дефолтным свопам ((CDS)) в традиционных финансах, для экосистемы DeFi, специально для хеджирования риска от привязанных активов, таких как стейблкоины и ликвидные стейк- токены. Пользователи могут передавать риски колебания цен стейблкоинов или LST/LRT участникам рынка через торговлю производными финансовыми инструментами, тем самым снижая риски и увеличивая эффективность капитала.

По анализу экспертов по безопасности, у этой атаки есть две основные причины:

1. Платформа позволяет пользователям создавать рынок с любыми активами в качестве активов для выкупа (RA), что позволяет злоумышленникам использовать токены производных DS в качестве RA.

2. Любой пользователь может без авторизации вызывать определённые функции контракта и передавать пользовательские данные для выполнения операций, что позволяет злоумышленникам управлять переводом законных DS с одного рынка на другой для использования в качестве RA и получать соответствующие токены.

Атакующий сначала купил токены weETH8CT-2 на легальном рынке, а затем создал новый рынок, используя токены weETH8DS-2 в качестве RA и wstETH в качестве PA. Путем создания специфических данных атакующий перевел токены weETH8DS-2 с легального рынка на новый рынок в качестве RA и получил соответствующие токены CT и DS на новом рынке.

В конечном итоге, злоумышленники использовали полученные токены для серии операций на новом и старом рынках, успешно похитив большое количество wstETH токенов.

Согласно данным инструментов анализа блокчейна, злоумышленник получил 3,761.878 wstETH, стоимостью более 12 миллионов долларов. Затем злоумышленник обменял эти wstETH на 4,527 ETH через 8 транзакций. В настоящее время около 4,530 ETH все еще находятся на адресе злоумышленника.

Этот инцидент снова напоминает разработчикам проектов DeFi о том, что при проектировании протокола необходимо тщательно проверять, соответствует ли каждая операция ожидаемому результату, и строго ограничивать типы активов на рынке, чтобы предотвратить потенциальные риски безопасности. В то же время пользователи, участвующие в проектах DeFi, также должны сохранять высокую бдительность, всегда следя за динамикой проекта и предупреждениями о безопасности.