Бот по кличке Свистун перехватил украденные токены на $7,8 млн у хакера в сети Ethereum

Во вторник неизвестный атаковал кошелек Gnosis Safe в сети Ethereum и вывел из него около 2900 токенов rsETH - примерно на $7,8 млн. Однако добыча досталась не хакеру. Торговый бот по кличке Свистун (yoink) заметил атаку в публичной очереди транзакций, заплатил около $47 000 за приоритетную обработку и первым забрал все токены.

Об этом сообщили компании по безопасности блокчейна BlockSec, Blockaid и SlowMist. Они выяснили, что проблема не в самом кошельке Safe, а во вспомогательном смарт-контракте - программе, которой владелец кошелька доверил управление средствами. Такие контракты часто используют для автоматизации торговых операций.

Вспомогательный контракт должен был проверять, имеет ли вызывающая сторона разрешение на действия. Но, как установили эксперты, проверка была написана с ошибкой: она одобряла любого, кто указывал сам этот контракт в качестве цели вызова. Именно эту лазейку и использовал злоумышленник.

После вывода средств хакер попытался обменять 2900 rsETH в специально созданном пуле ликвидности - автоматическом обменнике, где пользователи размещают токены для торговли. Менял он их на бесполезный токен Permissionless Attacker Token. В этот момент в дело вмешался бот Свистун. Он отследил транзакцию в мемпуле - публичной очереди ожидающих обработки операций - и выставил более высокую комиссию, чтобы его транзакция прошла первой. В итоге бот перехватил 2882 rsETH и отправил их на отдельный адрес.

«Первопричиной стала ошибочная проверка разрешений в контракте Multicall», - пояснила компания AstraSec. Другие эксперты подтвердили, что уязвимость находилась в компоненте, который владелец кошелька выбрал самостоятельно, а не в основных контрактах Safe.

Проект Kelp DAO, выпускающий токены rsETH, заявил, что его собственные контракты безопасны, а rsETH полностью обеспечен залогом. При этом команда обнаружила подозрительную активность на адресе, куда бот перевел средства. Из предосторожности Kelp DAO ввела временную 24-часовую заморозку этого адреса - в течение этого срока с него нельзя вывести или на него зачислить rsETH.

Читайте также

Сообщество Balancer проголосует за ликвидацию протокола и раздел казны на $9 млн

Подрядчики OpenAI вручную читают переписки пользователей с ChatGPT

Polymarket запустила бессрочные фьючерсы с плечом до 20x

Биткоин-ETF в США привлекли 731 млн долларов за день — рекорд с января

Revolut получила предварительное одобрение на открытие банка в США