Stake DAO зазнаває безпекової події на Arbitrum: згідно з повідомленнями, атакувач отримав доступ до приватного ключа розробника протоколу, змінив конфігурацію LayerZero v2 для vsdCRV, а потім створив підроблені міжланцюгові повідомлення, що спричинило масштабне незаконне створення монет.
Шлях атаки вказує на приватний ключ та конфігурацію міжланцюгової взаємодії
Згідно з розкритою інформацією, проблема полягала в налаштуванні міжланцюгової комунікації vsdCRV. Зловмисник змінив адресу пір-ноди LayerZero v2 на керовану ціль, а потім створив шкідливу міжланцюгову повідомлення, що дозволило контракту без додаткових обмежень безпосередньо випустити приблизно 5,44 трильйона vsdCRV на його гаманець.
Ці атаки не виконуються шляхом купівлі на відкритих ринках, а використовують прямий доступ до прав протоколу та етапів перевірки міжланцюгових повідомлень, щоб створити велику кількість токенів, яких не повинно бути.
Частина токенів уже обміняна та переведена на Ethereum
Компанія з безпеки блокчейну Blockaid повідомила, що нападники вже продали частину токенів, отримавши приблизно 43,78 ETH, і перевели кошти через міст назад на основну мережу Ethereum. Це означає, що відповідні активи вже почали перетинати межі блокчейнів, і подальше відстеження та заморожування можуть стати складнішими.
- Атака відбулася на мережі Arbitrum
- Токени, що задіяні: vsdCRV від Stake DAO
- Частина коштів уже перекладена на приблизно 43,78 ETH
У ході перевірки команди користувачів нагадали про відкликання авторизації
Команда DAO все ще розслідує обставини події, зосереджуючись на можливих питаннях: як відбулося витік приватного ключа, коли відбулися зміни конфігурації та чи постраждали інші контракти чи активи.
Під час проведення розслідування користувачів було проінформовано про необхідність якомога швидшого скасування відповідних авторизацій для зменшення ризиків у майбутньому. Для DeFi-протоколів, якщо права доступу або міжланцюгові налаштування потрапляють під контроль, вплив часто швидко поширюється від окремого контракту до рівня переказу коштів та ліквідності.