Một nhà nghiên cứu bảo mật đã được thưởng 250,000 USD vì đã phát hiện ra một lỗ hổng mà trong lịch sử đã cho phép tin tặc rút hàng triệu USD từ các giao thức tiền điện tử.
Nhà nghiên cứu an ninh mạng có biệt danh Marco Croc từ Kupia Security đã xác định được lỗ hổng tái xuất hiện trong giao thức tài chính phi tập trung (DeFi) Curve Finance.
Trong một bài đăng trên X, ông đã giải thích cách khai thác lỗi này để thao túng số dư và rút tiền từ pool thanh khoản.
Curve Finance thừa nhận các lỗ hổng bảo mật tiềm ẩn và “nhận thấy mức độ nghiêm trọng của lỗ hổng,” Marco Croc giải thích.
Sau khi điều tra kỹ lưỡng, Curve Finance đã trao cho Marco Croc giải thưởng tiền thưởng lỗi tối đa là 250,000 USD.
Big thanks for the disclosure! Grieving attacks are not as dangerous (funds would be anyway recoverable, and no profit for attacker) – could have caused serious panic if happened.
This is an example of a very professional work
— Curve Finance (@CurveFinance) April 30, 2024
Theo Curve Finance, mối đe dọa được phân loại là “không nguy hiểm” và họ tin rằng họ có thể lấy lại số tiền bị đánh cắp trong trường hợp như vậy.
Tuy nhiên, giao thức cho biết một sự cố bảo mật ở bất kỳ quy mô nào “có thể gây ra sự hoảng loạn nghiêm trọng nếu nó xảy ra”.
Curve Finance gần đây đã phục hồi sau vụ hack 62 triệu USD vào tháng 7. Là một phần của việc trở lại trạng thái bình thường, giao thức DeFi đã bỏ phiếu hoàn trả tài sản trị giá 49.2 triệu USD cho các nhà cung cấp thanh khoản (LP).
Just wanted to emphasize the scale of this. Victims are made whole with this vote with:
– $7.2M worth of ETH recovered by whitehats to the DAO being distributed
– $42M worth of CRV compensating unrecovered parts (vested)
– Other whitehat-recovered funds distributed before vote https://t.co/qmcK9pmTe5— Curve Finance (@CurveFinance) December 22, 2023
Dữ liệu on-chain xác nhận rằng 94% chủ sở hữu token đã chấp thuận việc giải ngân số token trị giá hơn 49.2 triệu USD để bù đắp khoản lỗ của các pool Curve, JPEG’d (JPEG), Alchemix (ALCX) và Metronome (MET).
Theo đề xuất của Curve, quỹ cộng đồng sẽ cung cấp token Curve DAO (CRV). Số tiền cuối cùng cũng bao gồm khoản khấu trừ cho số token được thu hồi kể từ sự cố.
Đề xuất nêu:
“Tổng số ETH cần phục hồi được tính là 5919.2226 ETH, CRV để phục hồi được tính là 34,733,171.51 CRV và tổng số để phân phối được tính là 55,544,782.73 CRV”.
Kẻ tấn công đã khai thác lỗ hổng trên các pool ổn định bằng cách sử dụng một số phiên bản ngôn ngữ lập trình Vyper. Lỗi này khiến các phiên bản 0.2.15, 0.2.16 và 0.3.0 của Vyper dễ bị tấn công trở lại.
Tin Tức Bitcoin tổng hợp.
