Μετά την παραβίαση του πρωτοκόλλου Platypus χθες, τουλάχιστον 2.4 εκατομμύρια USDC επιστράφηκαν στην υπό εκμετάλλευση πλατφόρμα με τη βοήθεια της εταιρείας ασφάλειας blockchain BlockSec.
Από τα σχεδόν 9.1 εκατομμύρια δολάρια σε κλεμμένα κεφάλαια από την Platypus, ήταν αποκάλυψε ότι ο εισβολέας μπορούσε να εξαργυρώσει μόνο 270,000 $, σύμφωνα με το MetalSleuth, ένα εργαλείο οπτικοποίησης από την Blocksec.
Περίπου 8.5 εκατομμύρια δολάρια από κλεμμένα κεφάλαια έχουν παγώσει στο σύμβαση μεταφέρθηκαν και άλλα 380,000 $ από μια δεύτερη απόπειρα εκμετάλλευσης κατά λάθος στάλθηκε πίσω στο Aave, δείχνουν τα δεδομένα στην αλυσίδα.
Η ανάκτηση ενός μέρους των κλεμμένων κεφαλαίων για την Platypus περιστράφηκε γύρω από το σχέδιο της BlockSec να εκμεταλλευτεί ένα κενό στο συμβόλαιο του εισβολέα.
«Αξιοποιώντας αυτό το κενό, το έργο μπορεί να μεταφέρει τα κεφάλαια από τη σύμβαση του εισβολέα στον λογαριασμό του έργου», δήλωσε στο The Block ο Yajin Zhou, συνιδρυτής της BlockSec.
«Το έργο ανέκτησε 2 εκατομμύρια δολάρια χρησιμοποιώντας την απόδειξη της ιδέας που παρέχουμε. Αυτό έγινε για να ανακτηθούν τα κεφάλαια στο συμβόλαιο του επιθετικού», σύμφωνα με τον Zhou, ο οποίος πρόσθεσε ότι περίπου 8 εκατομμύρια δολάρια σε περιουσιακά στοιχεία ήταν λανθάνοντα, καθώς το συμβόλαιο του επιθετικού δεν έχει λειτουργία μεταβίβασης.
Επανάκληση της αμυχής
Για να πάρει πίσω το κρυπτογράφημα, το BlockSec χρησιμοποίησε μια συνάρτηση επανάκλησης στο συμβόλαιο του εισβολέα.
«Η επίθεση ξεκίνησε μέσω της διεπαφής επιστροφής κλήσης δανείου flash στο συμβόλαιο επίθεσης. Αυτή η λειτουργία επανάκλησης δεν έχει έλεγχο πρόσβασης. Και κατά τη διάρκεια αυτής της λειτουργίας επανάκλησης, ο εισβολέας κωδικοποίησε τη λογική για να εγκρίνει το USDC στο συμβόλαιο του έργου (το οποίο είναι πληρεξούσιο)», σημείωσε ο Zhou.
«Έτσι, το έργο μπορεί πρώτα να επικαλεστεί τη συνάρτηση επανάκλησης στη σύμβαση εισβολέα για να εγκρίνει το USDC στη σύμβαση του έργου. Στη συνέχεια, η σύμβαση έργου μπορεί να αποσύρει το USDC από τη σύμβαση εισβολέα αναβαθμίζοντας το διακομιστή μεσολάβησης σε μια νέα υλοποίηση», είπε ο Zhou.
Διόρθωση: Ενημερώθηκε για να διορθωθεί το επίσημο όνομα του Platypus.
Πηγή: https://www.theblock.co/post/212966/platypusdefi-salvages-2-4-million-in-hacked-funds-with-blocksecs-help?utm_source=rss&utm_medium=rss