Специалисты по безопасности из Beosin изучили характер атаки на Pendle Penpie

2577

2 мин

04.09.2024

По данным на 4 сентября 2024 года DeFi-протокол Penpie, построенный на базе Pendle Finance, стал жертвой хакерской атаки, в результате которой было похищено около $27 млн в криптовалюте. Сразу после инцидента команда безопасности Beosin провела собственный анализ произошедшего и выявила ключевые уязвимости, которые позволили злоумышленникам успешно осуществить атаку.

Penpie — это платформа DeFi, интегрированная с Pendle Finance, которая предоставляет пользователям возможность блокировать токены PENDLE для получения прав управления и увеличения доходности в рамках экосистемы. Цель площадки заключается в улучшении доходности для клиентов и предоставлении услуг по усилению veTokenomics.

Атака была проведена с использованием уязвимости функции reentrant в контракте вознаграждений, что позволило злоумышленнику манипулировать балансом стейкингового контракта и получить чрезмерные вознаграждения. Основной этап подготовки атаки включал создание злоумышленником нового рынка и Yield с помощью «фабричного контракта» в протоколе Penpie, где контракт SY был использован в качестве атакующего.

Хакер также воспользовался флэш-займом, чтобы получить необходимую ликвидность для проведения атаки, и инициировал функцию batchHarvestMarketRewards, которая позволила ему управлять балансом рынка и получать неправомерные вознаграждения. В процессе атаки злоумышленник несколько раз повторил эту операцию, увеличивая свою прибыль за счет манипуляций с функцией redeemRewards.

Команда Pendle, узнав о случившемся, незамедлительно приостановила работу контрактов, что позволило предотвратить дальнейшие убытки и сохранить активы на сумму $105 млн. Однако хакеру удалось вывести около $27 млн, из которых 2900 ETH (приблизительно $6,9 млн) уже были переведены в Tornado Cash — сервис, известный своими возможностями по анонимизации транзакций.

В настоящее время Penpie активно пытается связаться с хакером, предлагая ему вознаграждение за возвращение украденных средств. В рамках реагирования на инцидент, команда безопасности Beosin рекомендовала добавить модификаторы для защиты от повторных входов в функции контракта, использовать единый контракт для генерации токенов, а также провести полный аудит безопасности перед запуском проекта.

Автор

Петр Иванов

Понравилась новость? Поделись мнением!

Комментарии

Оставить комментарий

Комментариев пока нет

Интересное по инвестиции

Экс-руководитель алгоритмов Alibaba запускает AI-стартап RSI с оценкой около $80 миллионов

Бывший директор по алгоритмам P10 в Alibaba Чжу Сяоюн готовится запустить AI-стартап RSI, который в первом раунде финансирования, по данным СМИ, оценили примерно в $80 миллионов. Ранее он работал ведущим научным сотрудником в Microsoft и в Alibaba отвечал за разработку моделей и связанные с ними исследования. Компания планирует начать с open-source инструментов, данных и сервисов для обучения моделей, чтобы помочь предприятиям в здравоохранении, робототехнике и производстве микросхем улучшать собственные AI-модели на основе своих данных.

BNB Standard откроет торги на Nasdaq 26 октября после ребрендинга

BNB Standard, акции которой торгуются на Nasdaq под тикером BNC, 26 октября примет участие в церемонии открытия торгов. Компания приурочила событие к ребрендингу и назначению нового руководства, в церемонии будут участвовать CEO, совет директоров, руководство, инвесторы и партнеры экосистемы.

Крупные инвесторы открыли длинные позиции по ZEC на $37,57 млн

По данным Lookonchain, за последние 15 часов два крупных инвестора открыли на фьючерсном рынке длинные позиции по ZEC с 10-кратным кредитным плечом. Общий объем сделок составил 29 798 ZEC на сумму около $37,57 млн.

Партнер Dragonfly назвал клеветой обвинения против CEO Polymarket

Управляющий партнер Dragonfly Хасиб Куреши опроверг заявления о том, что CEO Polymarket Шейн Коплан якобы использовал деньги компании на частные перелеты и личные расходы, назвав эти обвинения полной чепухой и клеветой. По его словам, Коплан в 21 год основал Polymarket, долгое время не получал зарплату, жил скромно и раскрывал все траты, а спорные расходы в итоге полностью возместил компании. Куреши подчеркнул, что речь шла о вопросе бухгалтерского учета, а не о недобросовестности, и заявил, что Dragonfly сохраняет полное доверие к Коплану и его руководству. Он добавил, что Polymarket вырос из небольшого стартапа в один из самых быстрорастущих потребительских брендов в США.

Nectar Group привлекла $5 млн в посевном раунде под руководством Portal Ventures

Nectar Group, разработчик приложения HoneyB, привлекла $5 млн в посевном раунде при оценке компании в $30 млн после инвестиций. Раунд возглавила Portal Ventures, также в нем участвовали Peer Venture Partners, Anchorage Digital Ventures и другие инвесторы. HoneyB планирует запустить платформу в IV квартале 2026 года: пользователи смогут брать кредиты в стейблкоинах под залог BTC и направлять средства в стратегии с казначейскими облигациями США, инструментами с фиксированным доходом, кредитными продуктами, золотом и опционами. На первом этапе сервис будет доступен институциональным инвесторам за пределами США, а продукт для розничных клиентов ожидается в I квартале 2027 года.