Iată cum protocolul DeFi SIR.trading și-a pierdut întregul TVL de 355.000 USD din cauza unui exploit

Atacatorii au exploatat Synthetics Implemented Right, un protocol de finanțare descentralizat pe blockchain-ul Ethereum, ceea ce duce la pierderea întregii valori totale blocate a protocolului (TVL).

Cunoscut sub numele de SIR.trading, protocolul a pierdut aproximativ 355.000 de dolari în atacul din 30 martie, datele DeFiLlama confirmând că TVL-ul său a scăzut de atunci la zero.

SIR.trading s-a poziționat ca „un nou protocol DeFi pentru un efect de pârghie mai sigur”, cu scopul de a reduce riscurile precum scăderea volatilității și lichidarea.

Cum a fost exploatat SIR.trading?

Firma de securitate blockchain Decurity a numit incidentul un „atac inteligent” care a exploatat o vulnerabilitate din contractul de seif al protocolului.

Problema a fost legată de funcția uniswapV3SwapCallback, care folosește stocarea tranzitorie a Ethereum, o funcție nouă introdusă în upgrade-ul Dencun de anul trecut.

Potrivit companiei, atacatorul a reușit să înlocuiască adresa legitimă a pool-ului Uniswap în această funcție de apel invers cu propria lor, permițându-le să redirecționeze fondurile seifului.

Logica seifului nu a validat corect sursa de apel invers, iar utilizarea stocării tranzitorii a permis atacatorului să manipuleze datele temporare la mijlocul tranzacției.

Apelând în mod repetat funcția vulnerabilă, au reușit să scurgă toate activele din seif.

Într-un comentariu separat post-incident, cercetătorul blockchain SupLabsYi de la Supremacy a evidențiat că atacul ar putea fi expus o problemă mai amplă cu stocarea tranzitorie a Ethereum în sine.

El a explicat că stocarea tranzitorie se resetează numai după încheierea tranzacției, permițând atacatorului să suprascrie datele critice de securitate înainte ca funcția să se termine executarea, adăugând:

În acest caz, atacatorul a putut să forțeze o adresă de vanitate pentru a face ca pool-ul fals să pară legitim și a folosit un contract personalizat pentru a finaliza exploit-ul.

TenArmor, o altă firmă de cercetare blockchain și una dintre primele care au semnalat incidentul pe X, a adăugat că fondurile furate au fost transferate rapid la o adresă finanțată prin platforma de confidențialitate Ethereum Railgun.

Fondatorul proiectului, care se identifică ca Xatarrer, a contactat Railgun pentru asistență.

Într-un mesaj anterior adresat comunității, Xatarrer a descris exploatarea drept „cea mai proastă veste pe care o poate primi un protocol”, dar a spus că sunt deschiși la reconstrucție și a cerut feedback cu privire la următorii pași.

Exploatările DeFi rămân o amenințare constantă

Pe măsură ce DeFi continuă să inoveze, la fel și tactica atacatorilor, SIR.trading se alătură acum unei liste de protocoale exploatate în ultimele săptămâni.

Pe 19 martie, Four.Meme, o platformă de lansare memecoin bazată pe BNB Chain, și-a suspendat funcția de lansare a jetonului după ce o vulnerabilitate critică în una dintre funcțiile protocolului a permis unui atacator să manipuleze contractul inteligent al platformei.

Înainte de acest atac, Four.Meme a suferit un alt atac pe 11 februarie, care a dus, de asemenea, la suspendarea temporară a pool-ului său de lichidități token pe PancakeSwap.

În aceeași lună, protocolul de creditare descentralizat zkLend a fost epuizat de peste 9 milioane de dolari, în urma a ceea ce dezvoltatorii au descris drept o exploatare a pieței goale.

Potrivit unui raport din ianuarie de la firma de securitate web3 PeckShield, în 2024, protocoalele defi au fost cele mai vizate.

Investitorii cripto au pierdut 3,01 miliarde de dolari, înregistrând o creștere de aproximativ 15% față de anul precedent.