Dango ยืนยันว่าเงินที่ถูกขโมยในการโจมตีเมื่อเร็วๆ นี้ได้รับการคืนกลับทั้งหมดแล้ว ซึ่งเกิดขึ้นหลังจากผู้โจมตีร่วมมือกับทีมและยอมรับรางวัลบั๊ก
เหตุการณ์ดังกล่าว ซึ่งเปิดเผยเมื่อช่วงต้นวันนี้ เริ่มต้นด้วยผู้โจมตีดึง collateral ของ USDC ออกจากสัญญา perpetuals ของโปรโตคอล อย่างไรก็ตาม สถานการณ์ถูกควบคุมได้อย่างรวดเร็ว โดยเงินส่วนใหญ่ได้รับการป้องกันและต่อมาได้รับคืนทั้งหมด
มีช่องโหว่ในตรรกะของกองทุนประกันที่ถูกใช้ประโยชน์
ตามที่ดังโกระบุ ช่องโหว่นี้เกิดจากข้อบกพร่องในตรรกะการบริจาคให้กองทุนประกัน
สัญญาอนุญาตให้ผู้ใช้บริจาคให้กับกองทุนประกัน แต่ไม่ได้ตรวจสอบว่าจำนวนการบริจาคเป็นบวก ข้อผิดพลาดนี้ทำให้ผู้โจมตีสามารถจัดการระบบและดึงเงินออกจากสัญญา Perp
ทีมงานระบุว่าช่องโหว่นี้อยู่ในขอบเขตจำกัดและไม่ส่งผลกระทบต่อฟังก์ชันการซื้อขายหลัก เช่น การจับคู่คำสั่ง การปิดกำไรและขาดทุน หรือการชำระบัญชี
ขาดทุนถูกจำกัดโดยข้อจำกัดของสะพาน
ผู้โจมตีสามารถถ่ายโอน USDC ประมาณ 410,010 ดอลลาร์สหรัฐไปยัง Ethereum อย่างไรก็ตาม เงินอีก 1.49 ล้านดอลลาร์สหรัฐยังคงอยู่บนโซ่ภายใน Dango ซึ่งเป็นผลจากข้อจำกัดอัตราการเชื่อมต่อที่มีอยู่ในตัว
คุณลักษณะการออกแบบนี้ป้องกันไม่ให้ผู้โจมตีถอนเงินที่ถูกใช้ประโยชน์ได้ทั้งหมด ทำให้ทีมมีเวลาตอบสนองและเริ่มต้นกระบวนการกู้คืน
ดังโก้ระงับโซ่ทันทีหลังจากตรวจพบปัญหา และเริ่มประสานงานกับพันธมิตรด้านความปลอดภัย รวมถึง Security Alliance พร้อมแจ้งให้แพลตฟอร์มแลกเปลี่ยนรายใหญ่และผู้ออก Stablecoin ทราบ
เงินทุนถูกคืนกลับเมื่อผู้โจมตีเปลี่ยนเป็นไวท์แฮต
ในการอัปเดตต่อมา ทีมงานยืนยันว่าผู้โจมตีได้คืนเงินทั้งหมดและได้รับรางวัลบั๊กบันตี้ตามมา
ดังโก้ อธิบายนักแสดงว่าเป็น “ไวท์แฮต” โดยยอมรับบทบาทของพวกเขาในการระบุช่องโหว่และป้องกันความเสียหายเพิ่มเติม
ทีมงานระบุว่า “ผู้ใช้ทุกคนที่ได้รับผลกระทบจะได้รับการชดเชยอย่างสมบูรณ์” โดยเพิ่มเติมว่าเงินทุนของผู้ใช้ไม่เคยเสี่ยงภัยนอกเหนือจากสัญญาที่ได้รับผลกระทบ
โปรโตคอลกลับมาดำเนินการอีกครั้งพร้อมมาตรการป้องกันเพิ่มเติม
หลังจากแก้ไขปัญหาแล้ว Dango กำลังดำเนินการปรับใช้มาตรการป้องกันเพิ่มเติมเพื่อป้องกันช่องโหว่ที่คล้ายกันในอนาคต
แพลตฟอร์มคาดว่าจะกลับมาให้บริการในไม่ช้า โดยโปรแกรมคะแนนจะเลื่อนออกไปชั่วคราว
สรุปสุดท้าย
- ข้อผิดพลาดในตรรกะของกองทุนประกันของ Dango ทำให้ผู้โจมตีสามารถดึงเงินออกได้ แม้ว่าข้อจำกัดของสะพานจะจำกัดความสูญเสีย
- เงินทุนถูกคืนทั้งหมดโดยไวท์แฮตภายหลัง ทำให้ผู้ใช้ไม่ได้รับผลกระทบ และโปรโตคอลกำลังเตรียมพร้อมสำหรับการดำเนินงานอีกครั้ง