Level Finance bestätigt $1M Exploit durch fehlerhaften Smart Contract

На децентрализованной бирже Level Finance произошла брешь в системе безопасности, позволившая злоумышленникам украсть более 1 миллиона долларов США из собственных токенов биржи Level Finance (LVL).

Level Finance сообщила своим 20 000 подписчикам в Twitter, что более 214 000 токенов LVL были слиты и обменены на 3 345 монет Binance Coin (BNB), приблизительная стоимость которых составляет $1,01 млн.

Эксплойт был направлен на наш контракт контроллера рефералов.

— 214 тысяч токенов LVL были выведены на адрес эксплойтера.

— Атакующий поменял LVL на 3,345 BNB.

— Эксплойт был изолирован от других контрактов.

— Исправление будет развернуто в течение 12 часов.

— LP и казна DAO НЕ ЗАДЕВАЮТСЯ.

Более подробная информация будет предоставлена позже.

— LEVEL Finance #RealYield (@Level__Finance) 1 мая 2023 г.

По данным компании Peckshield, занимающейся вопросами безопасности блокчейна, смарт-контракт Level Finance «LevelReferralControllerV2» содержал ошибку, которая позволяла «повторять реферальные заявки» из одной и той же эпохи. Это было подтверждено Level Finance в более позднем заявлении, сделанном на Discord.

Похоже, что в контракте LevelReferralControllerV2 от @Level__Finance есть ошибка, которая позволяет повторять требования рефералов из одной и той же эпохи. На данный момент 214k LVLs были слиты и обменены на 3,345 BNB (~1M).

Вот пример взлома tx: pic.twitter.com/wlr5bFFf0R

— PeckShield Inc. (@peckshield) 1 мая 2023 г.

Между тем, согласно данным исследователя цепочки Binance BSC Scan, контракт контроллера v2 показывает множественные вызовы функции «claim multiple» за последние 48 часов.

На момент написания статьи реализация контракта не была изменена с момента атаки; однако Level Finance заявила, что развернет новую реализацию контракта-реферала в течение следующих 12 часов.

Биржа также отметила, что ее пулы ликвидности и связанные с ними DAO остаются незатронутыми атакой.

Связанное: Апрельские криптомошенничества, эксплойты и взломы привели к потере $103 млн — CertiK

Согласно сообщению DeDotFiSecurity в Twitter, команда заявила, что она «временно закрыла реферальную программу», что позволило остановить эксплойт.

В Discord компания Level Finance заявила, что эксплойт был изолирован от других эксплойтов и что пользователи биржи должны «быть готовы к полному вскрытию».

Журнал: Вот как ZK-роллапы Ethereum могут стать совместимыми