DeFi-проект bZx потерял $8 млн в результате очередного вмешательства хакеров

Разработчики протокола децентрализованного кредитования сообщают, что изначально их внимание привлекло внезапное снижение объема зафиксированных активов. Спустя 3 часа после начала расследования им удалось подтвердить «инцидент с дупликацией», затронувший несколько токенов iToken. В связи с этим была временно остановлена возможность внесения и вывода активов из кредитования. «Метод дупликации был исправлен в коде контракта iToken, а протокол вернулся в режим нормального функционирования», – написали они. Сооснователь 1inch.exchange Антон Буков обнаружил 9 транзакций с токеном iETH, приведших к дупликации 101 778 iETH стоимостью около 4 700 ETH или $1,7 млн по текущему курсу. Кроме того, согласно The Block, с помощью бага хакер выпустил 219 200 LINK ($2,6 млн), 1 756 351 USDT, 1 412 048 USDC и 667 989 DAI. Общая сумма ущерба составила около $8 млн. bZx в отдельной публикации заверили пользователей, что их активы остаются в безопасности, а выводить деньги с платформы нет необходимости. Покрытие убытков было осуществлено при помощи собственного фонда страхования протокола. Разработчики объясняют, что каждый ERC20-токен имеет функцию transferFrom(), отвечающую за его передачу. Из-за бага хакер смог воспользоваться этой функцией для создания и передачи токенов iToken самому себе, что позволило ему неправомерно увеличить остаток по счету. Исправленная версия кода уже была проверена аудиторскими фирмами Peckshield и Certik. Ранее они же проводили интенсивное тестирование кода bZx, но, как заявляет сам проект, «аудиты – это не панацея». Это уже третья атака на bZx с начала текущего года. Совокупные убытки от двух первых составили около $1 млн. UPD: Изменены данные о сумме похищенных активов