EDE Finance: подробный анализ взлома
30 мая 2023 года в 09:38:13 PM +UTC финансовый проект El Dorado Exchange (EDE Finance) на Arbitrum подвергся взлому, в результате которого было потеряно 437 948 USDC и 86 222 USDT, что эквивалентно примерно $520 000.
Анализ атаки
Вот подробности, связанные с атакой:
- Адрес злоумышленника: 0x80826E9801420E19a948b8Ef477Fd20f754932DC
- Контракт атакующего: 0x6dd3d2fb02b0d7da5dd30146305a14190e6fb892
- Транзакция атаки: 0x72574fc0f85ed3c6fb78907fc938ce4d407817b1275bbd8b1ddc6de190550bf0
В ходе этой транзакции злоумышленник успешно манипулировал ценами задействованных токенов.
Следует отметить, что контракт по адресу 0xD067e4B0144841bc79153874d385671Ea4c4e4DF не имеет открытого исходного кода. После декомпиляции контракта ключевая функция, которая была определена, выглядит следующим образом:
Атака включала использование функции updateWithSig контракта оракула, которая обычно требует аутентификации. Однако в этом случае контракт с закрытым исходным кодом, упомянутый ранее, служил средством обновления для контракта оракула. В рамках стратегии атаки злоумышленник первоначально вызвал функцию func_147d9322 в контракте с закрытым исходным кодом.
Эта функция, в свою очередь, вызывала функцию «updateWithSig» оракула для манипулирования ценами на токены. Последующие транзакции затем использовались для эффективного проведения атаки.
События после атаки
После атаки злоумышленник решил вернуть 86 222 USDT и 333 948 USDC, фактически отдав часть похищенных средств. Однако ему все равно удалось получить прибыль в размере $100 000.
Lunaray Sec, группа аудита безопасности, отвечающая за оценку мер безопасности EDE Finance, выпустила заявление в ответ на инцидент. Они подтвердили, что EDE Finance успешно прошла аудит безопасности и начала общение с официальной командой EDE Finance.
Однако Lunaray Sec признала, что уязвимости, использованные во время атаки, не входили в сферу их первоначального аудита. Также было подтверждено, что выявленные уязвимости были устранены командой EDE Finance.
Последние мысли
Это нарушение безопасности EDE Finance подчеркивает исключительную важность тщательного и всестороннего аудита смарт-контрактов.
Однако, компания признала, что злоумышленникам удалось использовать уязвимости, выходящие за рамки первоначального аудита. Это особенно подчеркивает необходимость всестороннего и целостного подхода к аудиту безопасности, который охватывает широкий спектр потенциальных направлений атак.
Берегите себя и свои деньги, удачи! Деньги любят тишину.