Специалисты по безопасности из Beosin изучили характер атаки на Pendle Penpie

2263

2 мин

04.09.2024

DeFi
безопасность
ликвидность
бизнес
вознаграждения
инцидент
контракт
Pendle Finance
Penpie

По данным на 4 сентября 2024 года DeFi-протокол Penpie, построенный на базе Pendle Finance, стал жертвой хакерской атаки, в результате которой было похищено около $27 млн в криптовалюте. Сразу после инцидента команда безопасности Beosin провела собственный анализ произошедшего и выявила ключевые уязвимости, которые позволили злоумышленникам успешно осуществить атаку.

Penpie — это платформа DeFi, интегрированная с Pendle Finance, которая предоставляет пользователям возможность блокировать токены PENDLE для получения прав управления и увеличения доходности в рамках экосистемы. Цель площадки заключается в улучшении доходности для клиентов и предоставлении услуг по усилению veTokenomics.

Атака была проведена с использованием уязвимости функции reentrant в контракте вознаграждений, что позволило злоумышленнику манипулировать балансом стейкингового контракта и получить чрезмерные вознаграждения. Основной этап подготовки атаки включал создание злоумышленником нового рынка и Yield с помощью «фабричного контракта» в протоколе Penpie, где контракт SY был использован в качестве атакующего.

Хакер также воспользовался флэш-займом, чтобы получить необходимую ликвидность для проведения атаки, и инициировал функцию batchHarvestMarketRewards, которая позволила ему управлять балансом рынка и получать неправомерные вознаграждения. В процессе атаки злоумышленник несколько раз повторил эту операцию, увеличивая свою прибыль за счет манипуляций с функцией redeemRewards.

Команда Pendle, узнав о случившемся, незамедлительно приостановила работу контрактов, что позволило предотвратить дальнейшие убытки и сохранить активы на сумму $105 млн. Однако хакеру удалось вывести около $27 млн, из которых 2900 ETH (приблизительно $6,9 млн) уже были переведены в Tornado Cash — сервис, известный своими возможностями по анонимизации транзакций.

В настоящее время Penpie активно пытается связаться с хакером, предлагая ему вознаграждение за возвращение украденных средств. В рамках реагирования на инцидент, команда безопасности Beosin рекомендовала добавить модификаторы для защиты от повторных входов в функции контракта, использовать единый контракт для генерации токенов, а также провести полный аудит безопасности перед запуском проекта.

Автор

Петр Иванов

Понравилась новость? Поделись мнением!

Комментарии

Оставить комментарий

Комментариев пока нет

Интересное по инвестиции

Strategy планирует привлечь $300 млн через привилегированные акции STRC для увеличения запасов BTC

Strategy в ближайшие недели может получить до $3 млрд финансирования за счет продажи привилегированных акций STRC и направить средства на покупку дополнительных BTC. Инструмент STRC, запущенный в июле 2025 года, рассчитан на удержание цены акций близко к номиналу $100 за счет переменной ежемесячной доходности, которая сейчас составляет 11,50% годовых. Это помогло компании накопить BTC примерно на $50 млрд.

Питер Брандт допустил рост нефти до $214 и посоветовал присмотреться к шортам авиакомпаний

Известный трейдер Питер Брандт опубликовал график, который указывает на возможную цель фьючерсов на сырую нефть на уровне $214. По его мнению, такой рост резко повысит расходы авиакомпаний на топливо и может ударить по их прибыли, поэтому он рекомендует следить за акциями авиаперевозчиков в поисках возможностей для коротких продаж.

Глава Coinbase: платформа хранит более 12% мировых криптоактивов

Генеральный директор Coinbase Брайан Армстронг сообщил в соцсетях, что компания обслуживает тысячи финансовых учреждений и работает с институциональными клиентами более десяти лет. По его словам, Coinbase сейчас хранит более 12% мировых криптоактивов и большую часть спотовых крипто-ETF в США.

Anthropic выпустила руководство по созданию навыков для Claude

Anthropic опубликовала 33-страничное руководство, которое помогает пользователям создавать навыки для Claude. В документе описано, как настроить Claude для поддержки торговли акциями, оптимизации бизнес-процессов и работы в роли личного помощника, включая технический и фундаментальный анализ, управление инвестиционными портфелями в реальном времени и оценку акций.

На неделе APT, STRK, LINEA, SEI и MOVE проведут крупные разовые разблокировки токенов

На этой неделе, по данным Token Unlock, несколько проектов проведут разовую разблокировку токенов. APT 12 марта разблокирует 11,31 миллиона токенов на ~$10,56 миллиона 0,69% от обращения, STRK 15 марта — 127 миллионов на ~$4,85 миллиона 4,4%, LINEA 10 марта — 1,38 миллиарда на ~$4,24 миллиона 5,62%. Также SEI 15 марта разблокирует 55,56 миллиона на ~$3,49 миллиона 1%, а MOVE 9 марта — 164,58 миллиона на ~$3,38 миллиона 5,18%.