Stake DAO на Arbitrum подвергся безопасности инциденту: злоумышленник, предположительно получив доступ к приватному ключу разработчика протокола, изменил конфигурацию конечной точки LayerZero v2 для vsdCRV, а затем создал поддельные межсетевые сообщения, что привело к массовому несанкционированному чеканке токенов.
Путь атаки направлен на приватный ключ и конфигурацию моста
Согласно раскрытым данным, проблема заключалась в настройке межсетевого взаимодействия vsdCRV. Злоумышленник изменил адрес удаленного узла LayerZero v2 на контролируемый им адрес и сформировал вредоносное межсетевое сообщение, в результате чего контракт без дополнительных ограничений напрямую создал около 5,44 триллиона токенов vsdCRV на его кошельке.
Такие атаки не осуществляются путем покупки на открытом рынке, а используются непосредственно через права протокола и этап проверки межцепочечных сообщений для создания большого объема токенов, который не должен существовать.
Часть токенов уже обменяны и переведены на Ethereum
Компания по безопасности блокчейна Blockaid сообщила, что злоумышленники продали часть токенов, получив около 43,78 ETH, и перевели средства обратно на основную сеть Ethereum. Это означает, что соответствующие активы начали перемещаться через цепочки, и последующее отслеживание и замораживание могут стать сложнее.
- Атака произошла в сети Arbitrum
- Задействованный токен — vsdCRV от Stake DAO
- Часть средств уже переведена в примерно 43,78 ETH
В ходе расследования команды пользователям напомнили отозвать авторизацию
Команда DAO продолжает расследовать ход событий, сосредоточившись на возможных причинах утечки приватного ключа, времени изменения конфигурации и том, затронуты ли другие контракты или активы.
В ходе расследования пользователям было рекомендовано как можно скорее отозвать соответствующие разрешения, чтобы снизить риски в будущем. Для DeFi-протоколов, как только права доступа или межсетевые конфигурации оказываются под контролем, последствия часто быстро распространяются от отдельного смарт-контракта на уровень переводов средств и ликвидности.