پروتکل وام دهی مالی غیرمتمرکز (DeFi) Euler Finance در 13 مارس قربانی یک حمله وام فوری شد که منجر به بزرگترین هک کریپتو در سال 2023 تا حالا. پروتکل وام تقریباً 197 میلیون دلار در این حمله از دست داد و بیش از آن را تحت تأثیر قرار داد 11 پروتکل DeFi دیگر نیز.
در 14 مارس، اویلر با یک به‌روزرسانی در مورد وضعیت منتشر شد و به کاربران خود اطلاع داد که ماژول آسیب‌پذیر Etoken را برای مسدود کردن سپرده‌ها و عملکرد آسیب‌پذیر اهدایی غیرفعال کرده‌اند.
این شرکت گفت که آنها با گروه‌های امنیتی مختلف برای انجام ممیزی پروتکل خود کار می‌کنند و کد آسیب‌پذیر طی یک ممیزی خارجی بررسی و تأیید شد. آسیب پذیری به عنوان بخشی از ممیزی کشف نشد.
یکی از شرکای حسابرسی ما، @Omniscia_sec، یک کالبدشکافی فنی تهیه کرد و این حمله را با جزئیات تجزیه و تحلیل کرد. گزارش آنها را می توانید اینجا بخوانید:https://t.co/u4Z2xdutwe
به طور خلاصه، مهاجم از کد آسیب‌پذیر سوء استفاده کرد که به آن اجازه داد تا یک بدهی توکن بدون پشتوانه ایجاد کند… https://t.co/FGnPqvYUGB
– آزمایشگاه اویلر (@eulerfinance) 14 مارس 2023
این آسیب‌پذیری به مدت هشت ماه در زنجیره باقی ماند تا اینکه مورد سوء استفاده قرار گرفت، علی‌رغم وجود پاداش 1 میلیون دلاری باگ در این مدت.
شرلوک، یک گروه حسابرسی که در گذشته با Euler Finance کار کرده است، علت اصلی سوء استفاده را تأیید کرد و به اویلر کمک کرد تا ادعایی را ارائه دهد. پروتکل حسابرسی بعداً در مورد ادعای 4.5 میلیون دلار رأی گیری کرد که تصویب شد و بعداً 3.3 میلیون دلار در 14 مارس پرداخت شد.
گروه حسابرسی، در گزارش تحلیلی خود، خاطرنشان کرد که یک عامل اصلی برای سوء استفاده، بررسی سلامتی از دست رفته در donateToReserves()، یک تابع جدید اضافه شده در EIP-14 بود. با این حال، پروتکل تأکید می کند که حمله از نظر فنی حتی قبل از وجود EIP-14 هنوز امکان پذیر است.
مربوط: شرکت امنیتی هشدار می دهد که بیش از 280 بلاک چین در معرض خطر سوء استفاده های “روز صفر” هستند
شرلوک اشاره کرد که ممیزی اویلر توسط WatchPug در ژوئیه 2022 آسیب پذیری حیاتی را که در نهایت منجر به سوء استفاده در مارس 2023 شد، از دست داد.
به طور مشابه، شرلوک پشت هر حسابرسی که اویلر را بررسی کرده است، می ایستد.
شرلوک در ابتدا با او کار می کرد @cmichelio برای ممیزی اولین نسخه اویلر در دسامبر 2021، سپس با @shw9453 برای بررسی یک به روز رسانی بسیار کوچک در ژانویه 2022 و در نهایت با @WatchPug_ برای ممیزی EIP-14 در جولای 2022.
– SHERLOCK (@sherlockdefi) 13 مارس 2023
اویلر همچنین با شرکت‌های پیشرو در تحلیل زنجیره‌ای و امنیت بلاک‌چین، مانند TRM Labs، Chainalysis و جامعه امنیتی ETH گسترده‌تر، در تلاش برای کمک به آنها در تحقیقات و بازیابی وجوه تماس گرفته است.
اویلر اعلام کرد که آنها همچنین در حال تلاش برای تماس با افراد مسئول این حمله هستند تا در مورد این موضوع اطلاعات بیشتری کسب کنند و احتمالاً برای بازیابی وجوه دزدیده شده در مورد پاداش مذاکره کنند.
