Специалисты по безопасности из Beosin изучили характер атаки на Pendle Penpie

2530

2 мин

04.09.2024

По данным на 4 сентября 2024 года DeFi-протокол Penpie, построенный на базе Pendle Finance, стал жертвой хакерской атаки, в результате которой было похищено около $27 млн в криптовалюте. Сразу после инцидента команда безопасности Beosin провела собственный анализ произошедшего и выявила ключевые уязвимости, которые позволили злоумышленникам успешно осуществить атаку.

Penpie — это платформа DeFi, интегрированная с Pendle Finance, которая предоставляет пользователям возможность блокировать токены PENDLE для получения прав управления и увеличения доходности в рамках экосистемы. Цель площадки заключается в улучшении доходности для клиентов и предоставлении услуг по усилению veTokenomics.

Атака была проведена с использованием уязвимости функции reentrant в контракте вознаграждений, что позволило злоумышленнику манипулировать балансом стейкингового контракта и получить чрезмерные вознаграждения. Основной этап подготовки атаки включал создание злоумышленником нового рынка и Yield с помощью «фабричного контракта» в протоколе Penpie, где контракт SY был использован в качестве атакующего.

Хакер также воспользовался флэш-займом, чтобы получить необходимую ликвидность для проведения атаки, и инициировал функцию batchHarvestMarketRewards, которая позволила ему управлять балансом рынка и получать неправомерные вознаграждения. В процессе атаки злоумышленник несколько раз повторил эту операцию, увеличивая свою прибыль за счет манипуляций с функцией redeemRewards.

Команда Pendle, узнав о случившемся, незамедлительно приостановила работу контрактов, что позволило предотвратить дальнейшие убытки и сохранить активы на сумму $105 млн. Однако хакеру удалось вывести около $27 млн, из которых 2900 ETH (приблизительно $6,9 млн) уже были переведены в Tornado Cash — сервис, известный своими возможностями по анонимизации транзакций.

В настоящее время Penpie активно пытается связаться с хакером, предлагая ему вознаграждение за возвращение украденных средств. В рамках реагирования на инцидент, команда безопасности Beosin рекомендовала добавить модификаторы для защиты от повторных входов в функции контракта, использовать единый контракт для генерации токенов, а также провести полный аудит безопасности перед запуском проекта.

Автор

Петр Иванов

Понравилась новость? Поделись мнением!

Комментарии

Оставить комментарий

Комментариев пока нет

Интересное по инвестиции

США предстоит рефинансировать $7,5 трлн казначейских облигаций в 2026 году

В США в обращении находятся краткосрочные казначейские облигации примерно на $7 трлн, из которых около $6,1 трлн нужно погасить в течение года. С учетом других выпусков в 2026 году стране предстоит рефинансировать около $7,5 трлн госдолга, а в 2027 и 2028 годах — еще примерно $4 трлн и $3,5 трлн. Если Федеральная резервная система повысит ставку еще на 75 базисных пунктов, годовые процентные расходы только по краткосрочным бумагам могут вырасти примерно на $50 млрд, или 0,15% ВВП.

Капитализация Lobster кратковременно превысила $180 млн и обновила максимум

Капитализация мем-монеты Lobster кратковременно превысила $180 млн, обновив исторический максимум. За последние 24 часа показатель вырос на 12,7%, текущая капитализация составляет $146 млн, а объем торгов — $16,3 млн.

Хассетт: Трамп выступает против повышения ставок до промежуточных выборов

Экономический советник Белого дома Хассетт заявил 13 сентября, что Трамп не видит причин для повышения процентных ставок и считает важным сохранить текущую политику ФРС до промежуточных выборов. По его словам, Трамп также полностью уважает независимость Уорша.

Трамп пообещал добиваться самых низких процентных ставок в мире и выплатить американцам по $5 000

Дональд Трамп заявил, что США должны добиться самых низких процентных ставок в мире, а обещанную после выборов выплату по $5 000 каждому взрослому американцу, по его словам, Конгресс легко одобрит. Он подчеркнул, что всегда выполняет свои обещания. Ранее, 10 сентября, Трамп говорил, что при большинстве республиканцев в Палате представителей и Сенате намерен выплатить такие средства каждому взрослому американцу, а также предложил переименовать озеро Онтарио, штат Нью-Мексико и Ормузский пролив.

Anthropic и OpenAI призвали замедлить развитие ИИ, рынок ждет снижения акций сектора

Глава Anthropic Дарио Амодеи заявил, что компаниям стоит замедлить развитие передовых моделей ИИ, чтобы усилить их проверку и защиту, а Сэм Альтман сообщил, что OpenAI поддерживает такой подход. На этом фоне рынок ухудшил ожидания по сектору: на Trade xyz акции Nvidia снизились до $214,34 с $218,26, AMD — до $501,81 с $515,78, Intel — до $99,33 с $103,02, а ряд других компаний потерял около 3–5%. Одновременно упали и внебиржевые оценки разработчиков ИИ: контракт Anthropic до IPO предполагает капитализацию $2,0783 трлн, что на 3,75% ниже уровня последних 24 часов, а аналогичный контракт OpenAI — $1,4391 трлн, что на 10,6% ниже. Инвесторы восприняли заявления компаний как сигнал к более осторожному росту и возможному снижению расходов на инфраструктуру.