Атака на управління X100: що вона означає для індустрії?

Оригінал  Odaily Planet Daily（@OdailyChina）

Автор  Asher（@Asher_0210）

24 жовтня проект DeFi на Ethereum X100 зазнав атаки на управління, в результаті якої було вкрадено близько 4,85 мільйона USDT. За даними GMGN, ринкова капіталізація токена X впала з приблизно 760 мільйонів доларів до близько 24 мільйонів доларів, одноденне падіння перевищило 96%.

Кошик, який спочатку управлявся трьома "сенаторськими" місцями, був захоплений хакером за допомогою коштів, отриманих через миттєвий кредит. Отримавши більшість голосів, хакер подав зловмисну пропозицію, а потім проголосував за неї, використовуючи контрольовані ним місця, що дозволило кошику затвердити угоду на передачу активів хакеру. Після успішної першої атаки інші зловмисники продовжили використовувати ту ж механіку управління для подальшого виведення активів проекту.

Далі Odaily Planet Daily розгляне весь процес цієї атаки на управління, а також вразливості безпеки управління DAO, які виявилися в події X100.

Як хакер отримав два "сенаторських" місця за допомогою 1,94 мільйона доларів?

Кошик X100 управляється трьома "сенаторськими" місцями під назвою Senate, члени якого голосують за продаж токенів кошика, розподіл ліквідності та інші операції. Контролюючи лише два місця, можна подати пропозицію для управління активами кошика. Власники токенів проекту X вносять їх у контракт Freezer, вибирають термін заморожування на один, три або п’ять років і сплачують 100 токенів X як реєстраційний внесок, щоб взяти участь у виборах. Три місця ранжуються в реальному часі за поточним замороженим балансом адреси, а перші три отримують право на управління.

Ця механіка не обмежує одного контролера у отриманні місць через кілька адрес і не встановлює період очікування для набуття прав управління. Зловмиснику потрібно лише, щоб два контрольовані адреси одночасно потрапили в трійку лідерів, щоб миттєво отримати більшість голосів; пропозиції, які проходять, також можуть бути виконані негайно, що дозволяє захоплення місць і передачу активів завершити в одній угоді.

Перед атакою друга адреса заморозила близько 19 000 токенів X. 24 жовтня о 22:11 хакер взяв через миттєвий кредит близько 1,94 мільйона USDT, купив токени X і розподілив їх між двома допоміжними контрактами, які виконали заморожування та участь у виборах. Кожен контракт заморозив 19 000,000001 токенів X, лише на мільйонну частину токена більше, ніж у попереднього другого місця, що дозволило зайняти друге та третє місця, витіснивши попереднє друге місце з управлінського списку.

Отримавши більшість голосів, як хакер зміг перевести активи кошика на свій рахунок?

Два голоси "за", щоб кошик продав 400 000 токенів X за 35,68 долара

Отримавши два місця, хакер негайно подав зловмисну пропозицію, в якій вимагав, щоб кошик продав 400 000 токенів X у створений ним пул PancakeSwap V3 X/USDT, встановивши мінімальну суму отримання на нуль, а потім через інший контрольований контракт проголосував "за", щоб пропозиція отримала два голоси "за" та була негайно виконана. За аналізом GoPlus, X100 дозволяє пропозиціям управління вказувати торгові пули, але не має ефективного захисту мінімальної суми угоди. Хакер може вирішити, куди продавати токени, а також самостійно встановити умови угоди, а потім затвердити угоду своїми контрольованими голосами.

Вищезгаданий пул був створений хакером в одній угоді, з ліквідністю близько 100 доларів. Коли кошик продав 400 000 токенів X у цей пул, він міг заплатити лише невелику кількість USDT, а мінімальна сума отримання була нульовою, що дозволило угоді не провалитися через занадто низький дохід. Врешті-решт, кошик віддав 400 000 токенів X, отримавши лише близько 35,68 долара. Хакер потім вивів ліквідність зі свого створеного пулу, повернувши частину токенів, а потім продав частину токенів у вже існуючому пулі Uniswap V3 X/USDT, отримавши USDT. Після погашення миттєвого кредиту та інших витрат, перший хакер отримав прибуток близько 4,75 мільйона USDT.

Від покупки токенів, захоплення місць до затвердження низької ціни продажу токенів кошиком, все це було завершено в одній угоді. Токени, які кошик віддав, стали засобом для хакера для отримання прибутку, а USDT у реальному торговому пулі були використані для погашення кредиту та перетворені на прибуток від атаки.

Подальші атаки продовжуються, куди пішли вкрадені кошти?

Приблизно через 24 хвилини після першої атаки другий хакер знову захопив два місця управління через миттєвий кредит, видалив частину ліквідності Uniswap V3, що належала Freezer, і продовжив виводити активи через свій створений торговий пул, отримавши близько 96 400 USDT. Приблизно через п’ять хвилин третій гаманець використав допоміжний контракт, залишений другим хакером, без обмежень для виклику, щоб безпосередньо взяти його місце управління через пропозицію, вивівши близько 550 000 токенів X. Перші дві атаки завдали збитків приблизно 4,85 мільйона USDT, а третя атака ще 550 000 токенів X було виведено, три атаки відбулися менш ніж за півгодини.

За даними Bitquery, перший хакер протягом кількох хвилин після атаки обміняв основний прибуток у USDT на ETH, а потім розподілив його на п’ять гаманців, загалом близько 2022,86 ETH. Другий хакер обміняв USDT на ETH, через проміжну адресу перенаправив на ChangeNOW, весь процес перенесення тривав близько 21 хвилини.

Якщо права управління втрачені, швидкість передачі активів швидко перетворюється з однієї атаки першого хакера на кілька гаманців, які беруть участь у виведенні. Пізніші учасники навіть не потребують повторної покупки токенів для участі, вони можуть використовувати вже наявні права для продовження виведення активів.

Вартість атак на управління в світі блокчейну стає все нижчою

X100 не є винятком, атаки на управління не завжди вимагають від хакера попередніх великих інвестицій. Зловмисники можуть як купувати токени для отримання прав голосу, так і використовувати низькі пороги пропозицій для пошуку можливостей, а миттєві кредити дозволяють використовувати позичені кошти для участі в управлінні.

Цього року подібні атаки на управління вже неодноразово призводили до великих збитків. У липні зловмисник Bonk DAO витратив близько 4,09 мільйона доларів на купівлю токенів, що становлять 1,003% від загальної пропозиції, що лише трохи перевищує поріг затвердження управління, а потім через зловмисну пропозицію вивів активи на суму близько 20,5 мільйона доларів, після закінчення голосування він також повернув стейковані токени. У серпні Term Finance зазнав збитків близько 8,5 мільйона доларів через атаку на управління. Навіть якщо потрібно вкласти кілька мільйонів доларів для отримання прав голосу, ці кошти не обов’язково є остаточними витратами для зловмисника.

Деякі невдалі атаки мали поріг лише кілька сотень доларів. У березні зловмисник Moonwell витратив лише близько 1 808 доларів на купівлю MFAM і самостійне делегування, подавши зловмисну пропозицію, намагаючись отримати управлінські права над сімома ринками кредитування та основними контрактами, що стосуються близько 1,08 мільйона доларів користувацьких коштів. У вересні зловмисник Olas витратив лише близько 135 доларів на блокування 5 100 токенів OLAS, перевищивши поріг пропозиції. Обидві атаки, хоча й були зупинені, свідчать про те, що зловмисники не завжди повинні мати більшість голосів, лише отримавши право на пропозицію, вони можуть створити можливість для атаки.

22 жовтня Arkadiko також зазнав атаки на управління. Зловмисник купив достатню кількість DIKO, щоб самостійно проголосувати за пропозицію про введення зловмисного контракту, під час цього не було жодного голосу проти, за оцінками, збитки склали близько 1,09 мільйона доларів.

Права управління можна позичити, голосування "за" дозволяє виводити активи. Коли контроль над кошиком так легко переходить, кого насправді захищає так звана децентралізована управлінська система?