Проект из сферы децентрализованных финансов (DeFi) bZx в очередной раз подвергся атаке злоумышленников.
Разработчики протокола децентрализованного кредитования сообщают, что изначально их внимание привлекло внезапное снижение объема зафиксированных активов. Спустя 3 часа после начала расследования им удалось подтвердить «инцидент с дупликацией», затронувший несколько токенов iToken.
В связи с этим была временно остановлена возможность внесения и вывода активов из кредитования. «Метод дупликации был исправлен в коде контракта iToken, а протокол вернулся в режим нормального функционирования», – написали они.
Сооснователь 1inch.exchange Антон Буков обнаружил 9 транзакций с токеном iETH, приведших к дупликации 101 778 iETH стоимостью около 4 700 ETH или $1,7 млн по текущему курсу.
bZx в отдельной публикации заверили пользователей, что их активы остаются в безопасности, а выводить деньги с платформы нет необходимости. Покрытие убытков было осуществлено при помощи собственного фонда страхования протокола.
Разработчики объясняют, что каждый ERC20-токен имеет функцию transferFrom(), отвечающую за его передачу. Из-за бага хакер смог воспользоваться этой функцией для создания и передачи токенов iToken самому себе, что позволило ему неправомерно увеличить остаток по счету.
Исправленная версия кода уже была проверена аудиторскими фирмами Peckshield и Certik. Ранее они же проводили интенсивное тестирование кода bZx, но, как заявляет сам проект, «аудиты – это не панацея».
Это уже третья атака на bZx с начала текущего года. Совокупные убытки от двух первых составили около $1 млн.
