Penggodam menghabiskan ETH bernilai $1.4 juta daripada pemberi pinjaman NFT, Omni

Omni, platform pasaran wang token tidak boleh digunakan (NFT), telah dihabiskan kira-kira 1,300 ETH ($1.43 juta) dalam serangan kemasukan semula pinjaman kilat pada hari Ahad, mengikut kepada PeckShield.

Omni membenarkan pengguna mempertaruhkan NFT mereka, biasanya daripada koleksi popular seperti Kelab Yacht Ape Bosan, untuk menerima token seperti eter (ETH). 

Serangan hari ini menyaksikan penggodam mengeksploitasi kerentanan kemasukan semula dalam protokol Omni. Reentrancy ialah kelemahan yang diketahui dalam projek yang dikodkan dengan Solidity yang membenarkan pelakon penyangak memaksa kontrak pintarnya untuk membuat panggilan luar kepada kontrak yang tidak dipercayai. Panggilan luaran ini dilaksanakan sebelum fungsi asal dan dengan itu boleh digunakan untuk berulang kali memasuki semula protokol untuk mengalirkan kecairannya.

Yajin Zhou, Ketua Pegawai Eksekutif syarikat keselamatan blockchain BlockSec, menjelaskan proses eksploitasi kepada The Block, mengatakan bahawa penyerang mendepositkan NFT daripada koleksi yang dipanggil Doodles. NFT ini digunakan sebagai cagaran untuk meminjam ETH (WETH) yang dibungkus.

Penyerang kemudian mengeksploitasi kerentanan kemasukan semula dengan menarik balik semua kecuali satu daripada NFT yang disimpan sebagai cagaran. Tindakan ini dicetuskan fungsi panggil balik berniat jahat untuk manfaat penyerang. Fungsi ini membolehkan penggodam menggunakan dana yang dipinjam untuk membeli lebih banyak Doodle sebelum mencairkan kedudukan pinjaman.

Setelah kedudukan dibubarkan, baki NFT Doodle daripada cagaran asal dikembalikan semula kepada penyerang. Kedudukan pinjaman dibubarkan kerana nilai NFT yang pada mulanya dibiarkan sebagai cagaran sebelum fungsi panggil balik digunakan tidak mencukupi untuk menampung kedudukan hutang. Di sinilah kemasukan semula masuk, kerana penyerang dapat memaksa menggunakan WETH yang dipinjam untuk membeli lebih banyak NFT sebelum pembubaran berlaku.

Penyerang kemudian menggunakan Doodles yang diperoleh dengan pinjaman awal sebagai cagaran untuk meminjam lebih banyak WETH. Omni, bagaimanapun, tidak mengiktiraf kedudukan hutang baharu ini, jadi penggodam boleh menarik balik NFT tanpa membayar balik pinjaman.

Serangan itu menghabiskan lebih daripada 1,300 WETH ($1.4 juta) daripada protokol. Omni berkata bahawa eksploitasi itu tidak menjejaskan mana-mana dana pelanggan kerana hanya dana ujian dalaman yang terjejas, memandangkan platform itu masih dalam mod ujian beta.

Platform pasaran wang NFT berkata bahawa ia telah menjeda protokol sementara menunggu siasatan lengkap. Data daripada Etherscan menunjukkan pengeksploitasi telah pun mencuci dana melalui Tornado Cash, perkhidmatan pencampuran syiling untuk transaksi peribadi di Ethereum.

© 2022 The Block Crypto, Inc. Hak Cipta Terpelihara. Artikel ini disediakan untuk tujuan maklumat sahaja. Itu tidak ditawarkan atau dimaksudkan untuk digunakan sebagai nasihat hukum, pajak, pelaburan, kewangan, atau lain-lain.