Специалисты по безопасности из Beosin изучили характер атаки на Pendle Penpie

2360

2 мин

04.09.2024

По данным на 4 сентября 2024 года DeFi-протокол Penpie, построенный на базе Pendle Finance, стал жертвой хакерской атаки, в результате которой было похищено около $27 млн в криптовалюте. Сразу после инцидента команда безопасности Beosin провела собственный анализ произошедшего и выявила ключевые уязвимости, которые позволили злоумышленникам успешно осуществить атаку.

Penpie — это платформа DeFi, интегрированная с Pendle Finance, которая предоставляет пользователям возможность блокировать токены PENDLE для получения прав управления и увеличения доходности в рамках экосистемы. Цель площадки заключается в улучшении доходности для клиентов и предоставлении услуг по усилению veTokenomics.

Атака была проведена с использованием уязвимости функции reentrant в контракте вознаграждений, что позволило злоумышленнику манипулировать балансом стейкингового контракта и получить чрезмерные вознаграждения. Основной этап подготовки атаки включал создание злоумышленником нового рынка и Yield с помощью «фабричного контракта» в протоколе Penpie, где контракт SY был использован в качестве атакующего.

Хакер также воспользовался флэш-займом, чтобы получить необходимую ликвидность для проведения атаки, и инициировал функцию batchHarvestMarketRewards, которая позволила ему управлять балансом рынка и получать неправомерные вознаграждения. В процессе атаки злоумышленник несколько раз повторил эту операцию, увеличивая свою прибыль за счет манипуляций с функцией redeemRewards.

Команда Pendle, узнав о случившемся, незамедлительно приостановила работу контрактов, что позволило предотвратить дальнейшие убытки и сохранить активы на сумму $105 млн. Однако хакеру удалось вывести около $27 млн, из которых 2900 ETH (приблизительно $6,9 млн) уже были переведены в Tornado Cash — сервис, известный своими возможностями по анонимизации транзакций.

В настоящее время Penpie активно пытается связаться с хакером, предлагая ему вознаграждение за возвращение украденных средств. В рамках реагирования на инцидент, команда безопасности Beosin рекомендовала добавить модификаторы для защиты от повторных входов в функции контракта, использовать единый контракт для генерации токенов, а также провести полный аудит безопасности перед запуском проекта.

Автор

Петр Иванов

Понравилась новость? Поделись мнением!

Комментарии

Оставить комментарий

Комментариев пока нет

Интересное по инвестиции

Основатель Liquid Capital: Web3 — это финансы, а попытки копировать Web2 привели к банкротствам

23 апреля основатель Liquid Capital (ранее LD Capital) Ду Цзюнь заявил, что волна банкротств криптовалютных венчурных фондов и проектов связана с тем, что деньги уходили на «бесполезные» продукты Web3 и попытки повторять продукты Web2. По его словам, самые успешные компании в криптоиндустрии строились вокруг финансовых решений — от стейблкоинов и бирж до платежных сервисов. Он добавил, что с приходом ИИ большие раунды и крупные команды не обязательны, а главные возможности сейчас находятся на стыке ИИ и финансов.

Blockchain Capital привлекает $700 млн на два новых криптофонда и уже начала инвестировать средства

Венчурная компания Blockchain Capital привлекает $700 млн для двух новых фондов и уже разместила часть капитала, сообщает Bloomberg со ссылкой на источники. Речь идет о седьмом фонде для ранних инвестиций и втором фонде роста, а сбор средств планируют завершить в течение пяти-шести месяцев.

NASDAQ Composite обновил дневной рекорд, криптоакции резко выросли

Индекс NASDAQ Composite обновил рекордный дневной максимум, прибавив 1,25%. На этом фоне заметно выросли акции компаний, связанных с крипторынком: MSTR — на 9,41%, COIN — на 5,73%, CRCL — на 8,26%, SBET — на 3,80%, BMNR — на 6,10%.

Доллар теряет поддержку: фонды сокращают позиции на фоне ожиданий снижения ставок ФРС

На фоне деэскалации на Ближнем Востоке доллар США теряет статус «тихой гавани», а ожидания снижения ставок ФРС до конца года усиливают отток из долларовых активов. Индекс доллара снизился примерно на 2,3% от пика конца марта, показав худшую месячную динамику с августа прошлого года. JPMorgan Chase вернул ставку на падение доллара и предпочитает более рискованные валюты, а Bank of New York Mellon отмечает восстановление валют развивающихся рынков; инвестбанки также допускают рост пары EUR/USD до 1,20 в следующем году.

На Binance доля альткойнов в объеме торгов выросла до максимума за 2 месяца

Аналитик Darkfost сообщил, что доля альткойнов в объеме торгов на Binance достигла 51% против 31% в начале марта, тогда как доли BTC и ETH снизились до 30% и 17% соответственно. По его данным, доля ETH упала с 27% 11 апреля. Darkfost связывает это с консолидацией рынка, когда средства перетекают из крупных монет в альткойны.