Платформа DeFi LI.FI использована, из-за атаки потеряно более 8 миллионов долларов
Протокол децентрализованной финансовой платформы (DeFi) LI.FI подвергся эксплойту стоимостью более 8 миллионов долларов.
Cyvers Alerts сообщила об обнаружении подозрительных транзакций в агрегаторе кросс-чейн транзакций LI.FI.
LI.FI выдает предупреждение после эксплойта на 8 миллионов долларов
LI.FI подтвердила нарушение в заявлении от 16 июля через X: «Пожалуйста, пока не взаимодействуйте ни с какими приложениями на основе http://LI.FI! Мы расследуем потенциальную уязвимость». Команда пояснила, что пользователи, которые не установили бесконечные разрешения, не подвергаются риску, отметив, что, по-видимому, затронуты только те, кто вручную установил бесконечные утверждения.
Пока не взаимодействуйте ни с какими приложениями на базе https://t.co/nlZEnqOyQz !
Мы расследуем потенциальный эксплойт. Если у вас нет набора бесконечных утверждений, вы не подвергаетесь риску.
Похоже, что это касается только пользователей, которые вручную установили бесконечные разрешения.
Отменить все…
– LI.FI (@lifiprotocol) 16 июля 2024 г.
По данным Cyvers Alerts, было украдено более 8 миллионов долларов средств пользователей, большую часть которых составляли стейблкоины. Согласно данным сети, в кошельке хакера находится 1715 эфиров (ETH) на сумму 5,8 миллиона долларов, а также стейблкоины USDC, USDT и DAI.
ТРЕВОГА
@lifiprotocol , наша система обнаружила подозрительные транзакции с участием вашего https://t.co/3LzbDK99Ed
Мы рекомендуем пользователям отозвать свои разрешения для: 0x1231deb6f5749ef6ce6943a275a1d3e7486f4eae.
На данный момент у пользователей и в основном из стейблкоинов было украдено более 8 миллионов долларов!… pic.twitter.com/zsj9DZWnpU
—
Оповещения Сайверса
(@CyversAlerts) 16 июля 2024 г.
Cyvers Alerts посоветовала пользователям немедленно отозвать свои разрешения, отметив, что злоумышленник активно конвертирует USDC и USDT в ETH.
Компания по криптобезопасности Decurity предоставила подробную информацию об эксплойте, заявив, что он затрагивает мост LI.FI. «Основная причина — это возможность произвольного вызова данных, контролируемых пользователем, через депозитToGasZipERC20() в GasZipFacet, который был реализован 5 дней назад», — объяснил Декурити на X.
«В целом риски, связанные с маршрутизаторами, кросс-биржами и т. д. они касаются одобрения токенов. Необработанные собственные активы, такие как ETH (в развернутом виде), защищены от взлома такого типа, поскольку они не требуют одобрения в качестве опции. Кроме того, большинство пользователей и кошельков больше не выполняют «бесконечные утверждения», что дает смарт-контракту полный контроль над удалением любого количества их токенов. Важно понимать, какие токены вы поддерживаете и какие контракты.
Эта панель мониторинга ищет все транзакции пользователя, пересекающие Lifi. Не все эти транзакции указывают на риск, но вы можете видеть, как в целом интеграция и уровни технологий (например, как мост Metamask использует Lifi на BSC) могут усложнить то, как пользователи подвергают или не подвергают свои транзакции риску. Revoke Cash — самое популярное приложение для управления одобрениями.
Но также хорошей практикой безопасности является простое изменение вашего адреса. Новые адреса начинаются с 0 утверждений, поэтому начинать заново с перемещения токенов на новый адрес — еще одна хорошая практика обеспечения безопасности», — прокомментировал Карлос Меркадо, специалист по данным из Flipside Crypto.
Отразить недавние эксплойты атаки в марте 2022 г.
Дальнейший анализ рекомендаций PeckShield показал , что уязвимость аналогична предыдущей атаке на протокол LI.FI, произошедшей 20 марта 2022 года. В этом инциденте злоумышленник использовал смарт-контракт LI.FI, в частности, функциональность обмена, прежде чем создать мост.
Злоумышленник манипулировал системой, вызывая контракты токенов непосредственно в контексте контракта, оставляя уязвимыми пользователей, которые дали бесконечное одобрение. Этот эксплойт привел к краже примерно 205 ETH из 29 кошельков, что затронуло такие токены, как USDC, MATIC, RPL, GNO, USDT, MVI, AUDIO, AAVE, JRT и DAI.
«Ошибка по сути та же самая. Узнаем ли мы что-нибудь из прошлых уроков? Об этом говорится в сообщении PeckShield Alert от 16 июля.
После инцидента 2022 года LI.FI отключила все методы обмена в своем смарт-контракте и работала над разработкой решения для предотвращения будущих уязвимостей. Однако повторение аналогичного эксплойта вызывает обеспокоенность по поводу мер безопасности платформы и того, были ли приняты адекватные меры для устранения уязвимостей, выявленных в ходе предыдущего взлома.
LI.FI — это протокол агрегации ликвидности, который позволяет пользователям торговать через различные блокчейны, площадки и мосты.
Сообщение DeFi-платформа LI.FI использовалась, в результате атаки потеряно более 8 миллионов долларов. Впервые появилось на CryptoPotato .