Hemi Genesis Drop зазнав атаки повторного входу з втратами близько 124,5 мільйона токенів

Hemi опублікував аналітичний звіт про подію атаки на Genesis Drop 7 вересня. Зловмисник 7 вересня о 03:36:47 UTC скористався вразливістю в смарт-контракті MerkleBox у Genesis Drop Hemi, викравши близько 124,5 мільйона неприйнятих токенів. Ця вразливість виникла через атаку повторного входу, оскільки контракт обробляв створення блокування токенів до оновлення балансу рахунку, що дозволяло зловмиснику витягувати кошти, що перевищують його конфігурацію отримання. Зловмисник використав 2 мільйони токенів з пулу HEMI/USDT на Sushiswap як флеш-кредит для запуску атаки, виконуючи її атомарно через організацію контракту та погашаючи кредит. Вкрадені токени були ліквідовані на децентралізованій біржі в мережі Hemi, що призвело до генерації приблизно 255 тисяч доларів США у стейблкоїнах, які були переказані через LayerZero на мережі Ethereum, Arbitrum, BSC тощо, і в основному конвертовані в Ethereum. Команда Hemi отримала сповіщення о 05:42 UTC і менш ніж за годину виявила корінну причину. Впливовий контракт не підлягає оновленню, його поточний баланс дорівнює нулю, що не становить подальшого ризику. Інша інфраструктура Hemi не постраждала, розслідування особи зловмисника та повернення коштів триває.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.