Специалисты по безопасности из Beosin изучили характер атаки на Pendle Penpie

2500

2 мин

04.09.2024

По данным на 4 сентября 2024 года DeFi-протокол Penpie, построенный на базе Pendle Finance, стал жертвой хакерской атаки, в результате которой было похищено около $27 млн в криптовалюте. Сразу после инцидента команда безопасности Beosin провела собственный анализ произошедшего и выявила ключевые уязвимости, которые позволили злоумышленникам успешно осуществить атаку.

Penpie — это платформа DeFi, интегрированная с Pendle Finance, которая предоставляет пользователям возможность блокировать токены PENDLE для получения прав управления и увеличения доходности в рамках экосистемы. Цель площадки заключается в улучшении доходности для клиентов и предоставлении услуг по усилению veTokenomics.

Атака была проведена с использованием уязвимости функции reentrant в контракте вознаграждений, что позволило злоумышленнику манипулировать балансом стейкингового контракта и получить чрезмерные вознаграждения. Основной этап подготовки атаки включал создание злоумышленником нового рынка и Yield с помощью «фабричного контракта» в протоколе Penpie, где контракт SY был использован в качестве атакующего.

Хакер также воспользовался флэш-займом, чтобы получить необходимую ликвидность для проведения атаки, и инициировал функцию batchHarvestMarketRewards, которая позволила ему управлять балансом рынка и получать неправомерные вознаграждения. В процессе атаки злоумышленник несколько раз повторил эту операцию, увеличивая свою прибыль за счет манипуляций с функцией redeemRewards.

Команда Pendle, узнав о случившемся, незамедлительно приостановила работу контрактов, что позволило предотвратить дальнейшие убытки и сохранить активы на сумму $105 млн. Однако хакеру удалось вывести около $27 млн, из которых 2900 ETH (приблизительно $6,9 млн) уже были переведены в Tornado Cash — сервис, известный своими возможностями по анонимизации транзакций.

В настоящее время Penpie активно пытается связаться с хакером, предлагая ему вознаграждение за возвращение украденных средств. В рамках реагирования на инцидент, команда безопасности Beosin рекомендовала добавить модификаторы для защиты от повторных входов в функции контракта, использовать единый контракт для генерации токенов, а также провести полный аудит безопасности перед запуском проекта.

Автор

Петр Иванов

Понравилась новость? Поделись мнением!

Комментарии

Оставить комментарий

Комментариев пока нет

Интересное по инвестиции

Рынок ждет протоколы ФРС и отчеты Walmart и Target на фоне рисков для нефти

На этой неделе инвесторы следят за протоколами июльского заседания ФРС, августовскими данными PMI и отчетами Walmart, Target и Home Depot, чтобы оценить перспективы ставок и устойчивость потребительского спроса в США. После слабых данных по CPI, PPI и розничным продажам вероятность повышения ставки ФРС в сентябре снизилась примерно до 27%, однако жесткие сигналы в протоколах могут изменить ожидания рынка. Дополнительным фактором остаются перебои в судоходстве и напряженность в Ормузском проливе: прогресс в переговорах Ирана и Омана пока не привел к полному восстановлению перевозок, а дальнейшие сбои могут вновь подтолкнуть цены на нефть вверх. На этом фоне рынок оценивает, смогут ли сильные корпоративные результаты поддержать американские акции при высоких ценах на энергоносители и признаках замедления потребления.

ChiNext вырос более чем на 3% на фоне ралли акций производителей микросхем

Индекс ChiNext акций категории A по итогам торгов вырос более чем на 3%, Shenzhen Component прибавил 2,3%, а Shanghai Composite — 1,3%. По всему рынку выросли более 4 200 акций, при этом особенно сильную динамику показали производители микросхем, включая компании из сегментов современной упаковки чипов, CPO и оптоволоконных технологий.

Capital B увеличила запасы BTC до 3 145 монет

Французская публичная компания Capital B купила 5 BTC. После сделки общий объем ее криптоактивов вырос до 3 145 BTC.

Bull Run выпустил новый токен FOMO Coin

Адрес, связанный с Bull Run, вновь активизировался и 2 часа назад выпустил новый токен FOMO Coin с рыночной стоимостью $45,9 тыс. По данным GMGN, с этого адреса уже запускали 4 мем-коина, включая Bul come, BearGo и TripOver Body. Ранее анимационный фильм Bul come оказался в центре споров из-за качества анимации, а в сети обсуждали сцену со спотыкающимся ребенком. Мем-коины часто отличаются высокой волатильностью, поэтому инвесторам советуют соблюдать осторожность.

Объем торгов BULL COME на BSC приблизился к всему сектору мемкоинов Robinhood

По данным GMGN, 24-часовой объем торгов BULL COME на BSC превысил $44 млн, а рыночная капитализация монеты снизилась до $35,2 млн. По данным CoinGecko, общий суточный объем торгов мемкоинами на Robinhood Chain составляет около $53,2 млн, при этом на BULL COME приходится примерно 83% этого показателя. Согласно CoinGlass, 24-часовой объем спотовой торговли HYPE и DOGE составляет около $53,83 млн и $44,7 млн соответственно, что соответствует 12-14 местам на рынке. Если оценивать BULL COME по той же методике, монета могла бы занять около 15 места по объему спотовых торгов.