Ayon sa ulat ng Chainalysis, sa pananakop ng X100 stablecoin, unang kinontrol ng attacker ang karapatan sa pagboto ng protokolo, bago isalin ang halos $4.7 milyon na stablecoin.
Sa pamamagitan ng pagkuha ng mga upuan sa Senate, ang mga attacker ay nakakuha ng karamihan, na nagbigay sa kanila ng kakayahang manipulahin ang mga ari-arian ng treasury at ilipat ang mga ito sa kanilang kontroladong pool ng pondo.
Paano nakaaapekto ang vulnerability ng X100 stablecoin sa vault?
Ayon sa Chainalysis, ang kontrato na ginamit sa pag-atake ay nakuha ang mga upuan sa Senate ng protokolo, na nagbigay sa mga attacker ng majority na boto. Ang kontrol na ito ay nagbigay sa kanila ng kakayahang manipulahin ang mga ari-arian sa treasury.
Ang Freezer Vault ay pinalayas ang mga asset nito sa isang pool ng pondo na pinag-uugnay ng attacker. Ang pagkakasunod-sunod ng paggalaw ng pondo sa ulat ay direktang nag-uugnay sa pagkakamit ng pamamahala at paglipat ng pondo: ang kontrol sa karapatan sa boto ay nagbigay-daan sa attacker na i-redirect ang mga asset ng vault.
Pagkatapos ng pag-withdraw, ang nasupil na pera ay napalitan sa ETH. Kinuha ng Chainalysis na ang mga pondo ay inilahad sa apat na wallet, kada isa ay may 400 ETH.
Ang mga kahinaan sa pamamahala ay hindi lamang limitado sa mga pinakuha na pondo
Ang pagkakabukas ng vulnerability sa X100 stablecoin ay nagpapakita ng seriyosong kahinaan sa decentralized governance, kung saan ang attacker ay nagamit ang majority control upang manipulahin ang treasury. Ang security lapse na ito ay sumasakop sa voting structure ng protocol at sa mga ari-arian na pinag-uugnay nito.
Ang pangyayaring ito ay nagdulot ng pag-aalala sa labas tungkol sa kaligtasan ng decentralized finance at ang pagpapasiya sa mga yaman sa pamamagitan ng integridad ng sistema ng pamamahala ng protokolo. Sa pangyayaring ito, ang pagkuha ng mga upuan sa Senate ay nagbigay ng kontrol na kailangan upang pilitin ang pagbebenta ng mga asset sa mga pool na kontrolado ng attacker.
Tinukoy din ng Chainalysis na mayroon pa ring humigit-kumulang 560,000 na X tokens na hindi nabebenta sa address ng attacker.
Ang artikulo ay nilikha nang may tulong ng artificial intelligence at sinuri ng team ng editor.