SlowMist и GoPlus Security: хакер обошел блокировку Balancer с помощью функции permit

452

2 мин

Инцидент с протоколом Balancer показал новый способ обхода заморозки активов через функцию permit(), предусмотренную стандартом EIP-2612. Хакер смог вывести около $3 млн в токенах stS, используя oфчейн-подпись, не требующую газа от заблокированного адреса. После получения доступа к криптоактивам злоумышленник обменял активы на WBTC и ETH, что позволило ему окончательно вывести средства из-под контроля команды проекта.

По данным GoPlus Security, атака произошла утром, когда с адреса, замороженного проектом Sonic Labs, было переведено 19,5 млн stS. Заморозка на уровне сети действовала только для нативного токена S, однако ERC-20 stS оставался доступен для операций. Это позволило хакеру использовать функцию permit() для подписания транзакции за пределами блокчейна, а затем выполнить команду transferFrom(), фактически обойдя ограничения блокировки.

Представители SlowMist отметили, что предупреждали о подобных фишинговых схемах, связанных с офчейн-подписями. Они часто используются юзерами на неизвестных сайтах, предоставляющих dApp-услуги, после чего злоумышленники получают возможность проводить транзакции от имени владельца кошелька. В отличие от обычной функции approve(), которая требует активного подтверждения со стороны владельца, permit() дает возможность создавать авторизационные подписи вне сети и применять их впоследствии без участия пользователя.

Эксперты объясняют, что permit() изначально разрабатывалась для удобства — чтобы юзеры могли взаимодействовать со смарт-контрактами без необходимости тратить газ на подтверждение разрешений.

Однако в данном случае именно этот механизм стал уязвимостью, так как заморозка на уровне токена не перекрыла возможность подписи и выполнения разрешения через permit(). Представители GoPlus Security подчеркнули, что подобные инциденты указывают на необходимость внедрения комплексной системы безопасности, которая учитывает как ончейн-, так и офчейн-взаимодействия. В частности, рекомендуется использовать предварительные проверки транзакций, способные выявлять подозрительные подписи и попытки передачи разрешений до их выполнения. Также следует оперативно реагировать на инциденты и иметь механизмы перехвата активов на обоих уровнях.

Автор

Петр Иванов

Понравилась новость? Поделись мнением!

Комментарии

Оставить комментарий

Комментариев пока нет

Интересное по инвестиции

Аналитик: давление продаж у краткосрочных держателей BTC снижается, но спрос со стороны фондов под вопросом

Аналитик CryptoQuant Аксель Адлер сообщил, что давление на покупку и продажу со стороны краткосрочных держателей BTC ослабевает, при этом покупки пока все еще преобладают. После 8 недель оттока спотовые ETF зафиксировали чистый приток около $197,4 млн, но этого недостаточно, чтобы говорить о восстановлении спроса со стороны институциональных инвесторов. На следующей неделе рынок ждет публикацию важных макроэкономических данных и несколько значимых событий, поэтому возвращение крупных фондов пока остается под вопросом.

Трейдер заработал более чем в 12 раз на CASHCAT за 6 дней

Трейдер за 6 дней закрыл позицию в CASHCAT с прибылью более чем в 12 раз. По данным ончейн-аналитика Ai Auntie, 6 дней назад он купил токен на $1 190 по средней цене $0,00664, а 8 часов назад продал по средней цене $0,17585 и зафиксировал чистую прибыль $14 400.

Tata Consultancy Services создаст команду по внедрению ИИ численностью до 8 900 человек

Tata Consultancy Services формирует инженерную команду по внедрению искусственного интеллекта численностью до 8 900 человек и изучает возможности для поглощений в этом секторе, сообщили Reuters два топ-менеджера компании. В TCS считают, что ИИ откроет новые направления для бизнеса, а не ослабит ее основной сегмент ИТ-аутсорсинга, хотя инвесторы опасаются, что технология может усилить давление на индийский рынок ИТ-услуг объемом $315 млрд.

Майкл Сэйлор назвал капитал, консенсус и безопасность основой равновесия сети BTC

12 июля основатель Strategy Майкл Сэйлор написал, что BTC — это саморазвивающаяся сетевая система, где влияние кошельков зависит от количества хранящихся сатоши, влияние узлов — от деловой активности, а влияние майнеров — от хешрейта. По его словам, капитал, консенсус и безопасность сети вместе поддерживают динамическое равновесие системы.

Аналитики назвали причины медвежьего рынка BTC и допустили рост до $100 000 к концу года

Аналитики считают, что BTC остается в медвежьем рынке из-за четырехлетнего цикла, инфляции и массового закрытия позиций с кредитным плечом. По их оценкам, краткосрочно цена может опуститься до $58 000, однако при улучшении ситуации с процентными ставками к концу года BTC способен восстановиться до $100 000. Среди факторов давления также называют высокую инфляцию в США на уровне 4,1% при цели ФРС в 2% и слабость связанных с биткоином компаний, включая Strategy, чьи акции с октября снизились примерно на 75%. Некоторые эксперты ожидают, что рынок достигнет дна летом, после чего BTC может перейти к восстановлению.