تیم پشت صرافی غیرمتمرکز Raydium (DEX) جزئیاتی را درباره نحوه هک شدن 16 دسامبر اعلام کرده و پیشنهادی برای جبران خسارت قربانیان ارائه کرده است.
بر اساس یک پست انجمن رسمی از تیم، هکر توانسته است با بیش از 2 میلیون دلار غارت رمزارز توسط بهره برداری یک آسیب‌پذیری در قراردادهای هوشمند DEX که به‌رغم حمایت‌های موجود برای جلوگیری از چنین رفتاری، امکان برداشت کل استخرهای نقدینگی توسط مدیران را فراهم می‌کرد.
این تیم از توکن‌های آنلاک شده خود برای جبران خسارت قربانیانی که توکن‌های Raydium را از دست داده‌اند، استفاده خواهد کرد. با این حال، توسعه‌دهنده استیبل کوین و سایر توکن‌های غیر RAY را برای جبران خسارت قربانیان ندارد، بنابراین از دارندگان RAY می‌خواهد تا از خزانه سازمان غیرمتمرکز مستقل (DAO) برای خرید توکن‌های مفقود شده برای بازپرداخت افراد آسیب‌دیده استفاده کنند. بهره برداری.
1/ به روز رسانی در مورد اصلاح وجوه برای بهره برداری اخیر
ابتدا از صبر و شکیبایی همه تا کنون سپاسگزاریم
یک پیشنهاد اولیه در مورد یک راه رو به جلو برای بحث ارسال شده است. Raydium همه بازخوردها در مورد پیشنهاد را تشویق و قدردانی می کند.https://t.co/NwV43gEuI9
– Raydium (@RaydiumProtocol) 21 دسامبر 2022
بر اساس گزارش جداگانه پس از مرگ، اولین گام مهاجم در این سوء استفاده بود کسب کردن کنترل کلید خصوصی استخر مدیریت این تیم نمی‌داند چگونه این کلید به دست آمده است، اما مشکوک هستند که ماشین مجازی که کلید را نگه داشته است به یک برنامه تروجان آلوده شده است.
هنگامی که مهاجم کلید را در اختیار داشت، تابعی را برای برداشت هزینه های تراکنش فراخوانی کرد که معمولاً به خزانه DAO می رفت تا برای خرید RAY استفاده شود. در Raydium، کارمزد تراکنش ها به طور خودکار در لحظه سوآپ به خزانه نمی رود. در عوض، آنها تا زمانی که توسط یک مدیر برداشت نشود، در استخر تامین‌کننده نقدینگی باقی می‌مانند. با این حال، قرارداد هوشمند میزان هزینه های بدهکار به DAO را از طریق پارامترها پیگیری می کند. این باید مانع از این می شد که مهاجم نتواند بیش از 0.03 درصد از کل حجم معاملاتی را که از زمان آخرین برداشت در هر استخر رخ داده بود برداشت کند.
با این وجود، به دلیل نقص در قرارداد، مهاجم توانست به صورت دستی پارامترها را تغییر دهد، و به نظر می رسد که کل استخر نقدینگی کارمزد تراکنش هایی است که جمع آوری شده است. این به مهاجم این امکان را می داد که تمام وجوه را برداشت کند. هنگامی که وجوه برداشت شد، مهاجم می‌توانست آنها را به‌صورت دستی با توکن‌های دیگر تعویض کند و درآمد حاصل از آن را به کیف پول‌های دیگر تحت کنترل مهاجم منتقل کند.
مربوط: توسعه دهنده می گوید که پروژه ها از پرداخت پاداش به هکرهای کلاه سفید خودداری می کنند
در پاسخ به این اکسپلویت، تیم قراردادهای هوشمند برنامه را ارتقا داده است تا کنترل مدیریت بر پارامترهایی را که توسط مهاجم مورد سوء استفاده قرار می‌گرفت، حذف کند.
در پست انجمن 21 دسامبر، توسعه دهندگان طرحی را برای جبران خسارت قربانیان حمله پیشنهاد کردند. این تیم از توکن های RAY آنلاک شده خود برای جبران خسارت دارندگان RAY که توکن های خود را به دلیل حمله از دست داده اند استفاده می کند. این سازمان خواستار بحث در انجمن در مورد نحوه اجرای طرح جبران خسارت با استفاده از خزانه داری DAO برای خرید توکن های غیر RAY شده است که گم شده اند. این تیم خواستار یک بحث سه روزه برای تصمیم گیری در مورد این موضوع است.
هک 2 میلیون دلاری Raydium بود اولین بار کشف شد در 16 دسامبر. گزارش‌های اولیه حاکی از آن است که مهاجم از تابع remove_pnl برای حذف نقدینگی از استخرها بدون واریز توکن‌های LP استفاده کرده است. اما از آنجایی که این عملکرد فقط باید به مهاجم اجازه می داد تا هزینه های تراکنش را حذف کند، روش واقعی که آنها می توانستند کل استخرها را تخلیه کنند تا پس از انجام تحقیقات شناخته شده نبود.
