Специалисты по безопасности из Beosin изучили характер атаки на Pendle Penpie

2282

2 мин

04.09.2024

DeFi
безопасность
ликвидность
бизнес
вознаграждения
инцидент
контракт
Pendle Finance
Penpie

По данным на 4 сентября 2024 года DeFi-протокол Penpie, построенный на базе Pendle Finance, стал жертвой хакерской атаки, в результате которой было похищено около $27 млн в криптовалюте. Сразу после инцидента команда безопасности Beosin провела собственный анализ произошедшего и выявила ключевые уязвимости, которые позволили злоумышленникам успешно осуществить атаку.

Penpie — это платформа DeFi, интегрированная с Pendle Finance, которая предоставляет пользователям возможность блокировать токены PENDLE для получения прав управления и увеличения доходности в рамках экосистемы. Цель площадки заключается в улучшении доходности для клиентов и предоставлении услуг по усилению veTokenomics.

Атака была проведена с использованием уязвимости функции reentrant в контракте вознаграждений, что позволило злоумышленнику манипулировать балансом стейкингового контракта и получить чрезмерные вознаграждения. Основной этап подготовки атаки включал создание злоумышленником нового рынка и Yield с помощью «фабричного контракта» в протоколе Penpie, где контракт SY был использован в качестве атакующего.

Хакер также воспользовался флэш-займом, чтобы получить необходимую ликвидность для проведения атаки, и инициировал функцию batchHarvestMarketRewards, которая позволила ему управлять балансом рынка и получать неправомерные вознаграждения. В процессе атаки злоумышленник несколько раз повторил эту операцию, увеличивая свою прибыль за счет манипуляций с функцией redeemRewards.

Команда Pendle, узнав о случившемся, незамедлительно приостановила работу контрактов, что позволило предотвратить дальнейшие убытки и сохранить активы на сумму $105 млн. Однако хакеру удалось вывести около $27 млн, из которых 2900 ETH (приблизительно $6,9 млн) уже были переведены в Tornado Cash — сервис, известный своими возможностями по анонимизации транзакций.

В настоящее время Penpie активно пытается связаться с хакером, предлагая ему вознаграждение за возвращение украденных средств. В рамках реагирования на инцидент, команда безопасности Beosin рекомендовала добавить модификаторы для защиты от повторных входов в функции контракта, использовать единый контракт для генерации токенов, а также провести полный аудит безопасности перед запуском проекта.

Автор

Петр Иванов

Понравилась новость? Поделись мнением!

Комментарии

Оставить комментарий

Комментариев пока нет

Интересное по инвестиции

Стратег Morgan Stanley: коррекция на рынке США близка к завершению, а не к началу распродажи

Главный стратег Morgan Stanley по американским акциям Майкл Уилсон заявил, что нынешняя резкая коррекция, вероятно, уже достигла пика по времени и масштабу, а рынок близок к дну. По его оценке, около 50% акций Russell 3000 снизились более чем на 20% от 52-недельных максимумов, а в S&P 500 доля таких бумаг превышает 40%, при этом рост прибыли компаний S&P 500 составляет 13%. Уилсон считает распродажу «коррекцией в рамках бычьего рынка» и предупреждает, что сценарий может ухудшиться, если нефть поднимется выше $100 за баррель и закрепится на этом уровне.

Акции MINIMAX и Smart Idea в Гонконге выросли более чем на 20%

По данным Bitget, акции двух крупных компаний на гонконгском рынке продолжили рост. Бумаги MINIMAX-W (00100.HK) подорожали более чем на 27%, а акции Smart Idea (02513.HK) — более чем на 20%.

Рынки Японии и Южной Кореи закрылись в плюсе, KOSPI прибавил 5,04%

18 марта индекс Nikkei 225 вырос на 1539,01 пункта 2,87% и закрылся на уровне 55 239,40 пункта. Южнокорейский индекс KOSPI прибавил 284,55 пункта 5,04% и завершил торги на отметке 5925,03 пункта.

ФРС на неделе сохранит ставки и сосредоточится на рисках для инфляции и рынка труда

Глава отдела облигаций Mediolanum International Fund Management Даниэль Лавни заявил, что рынок и до обострения ситуации в Персидском заливе ждал сохранения ставок ФРС, а теперь это практически не вызывает сомнений. По его словам, свежие данные указывают на дальнейшее замедление инфляции и ухудшение ситуации на рынке труда, поэтому регулятор, вероятно, займет осторожную выжидательную позицию и в заявлении упомянет риск войны, сбалансировав сигналы по будущей траектории ставок.

Со-гендиректор Bybit Хелен Лю анонсировала запуск платформы ABFinance для цифровых финансов

Со-генеральный директор Bybit Хелен Лю сообщила о запуске ABFinance — универсальной платформы, которая объединит пополнение счета, получение дохода, торговлю и платежи, а также поможет работать с фиатными и криптоактивами с учетом требований регуляторов. По ее словам, проект с первого дня опирается на лицензирование в США. Ранее Bybit объявила, что Лю уйдет в отставку 30 апреля 2026 года и займется личными проектами.