Στις 7 Ιουνίου, κάποιος δημοσίευσε ένα Reddit νήμα που αργότερα διαγράφηκε από τον συντονιστή του φόρουμ. Το νήμα περιείχε έναν σοβαρό ισχυρισμό - το δίκτυο Osmosis είχε ένα σφάλμα που επέτρεπε στους παρόχους ρευστότητας να κερδίσουν επιπλέον 50% όταν προσθέτουν και αποσύρουν ρευστότητα.
όσμωση (OSMO) είναι ένα blockchain στο οικοσύστημα Cosmos που προσφέρει μια αποκεντρωμένη ανταλλαγή και πορτοφόλι.
Ο ισχυρισμός φαινόταν απίθανος έως ότου το δίκτυο διακόπηκε για έκτακτη συντήρηση.
Γεια σας @osmosiszone οι φιλοι. Από το μπλοκ #4713064 η αλυσίδα Osmosis έχει σταματήσει για έκτακτη συντήρηση.
Αυτή τη στιγμή το Osmosis DEX και το Wallet δεν λειτουργούν μέχρι να ολοκληρωθούν οι επισκευές.
?Παρακαλώ μείνετε δίπλα σας καθώς οι προγραμματιστές εργάζονται για να μας επαναφέρουν.
— ??EmperorOsmo(Hathor Nodes)?? (@Flowslikeosmo) Ιούνιος 8, 2022
Παρόλο που η ομάδα της Osmosis δεν αναγνώρισε ένα κατόρθωμα εκείνη την εποχή, η διακοπή έγινε αφού μερικοί επιτιθέμενοι απέσυραν περίπου 5 εκατομμύρια δολάρια.
Οι δεξαμενές ρευστότητας ΔΕΝ ήταν «εντελώς αποστραγγισμένες».
Οι προγραμματιστές διορθώνουν το σφάλμα, εξετάζουν το μέγεθος των απωλειών (πιθανότατα στην περιοχή των ~ 5 εκατομμυρίων $) και εργάζονται για την ανάκτηση.
Περισσότερες πληροφορίες έρχονται. https://t.co/WOu7MMgSUM
— Όσμωση; (@osmosiszone) Ιούνιος 8, 2022
Η ομάδα Osmosis εντόπισε το σφάλμα και ανέπτυξε μια ενημερωμένη έκδοση κώδικα που δοκιμάζεται πριν από την ανάπτυξη. Οι προγραμματιστές εξακολουθούν να εργάζονται για την επανεκκίνηση του δικτύου.
Ενημέρωση: Το σφάλμα εντοπίστηκε και έχει γραφτεί μια ενημέρωση κώδικα.
Πραγματοποιούνται περισσότερες δοκιμές προτού συστηθούν οι επικυρωτές για τον συντονισμό μιας επανεκκίνησης.
Πλήρης αναφορά σφαλμάτων και σχέδιο δράσης για πιο ενδελεχή και σωστή δοκιμή από άκρο σε άκρο των αναβαθμίσεων της αλυσίδας που θα ακολουθήσουν τις επόμενες ημέρες. https://t.co/DjJMOEQxrT
— Όσμωση; (@osmosiszone) Ιούνιος 8, 2022
Έτσι, οι εισβολείς κατάφεραν να εκμεταλλευτούν το δίκτυο, όπως φαίνεται από τη δραστηριότητα εντός της αλυσίδας:
Ένας χρήστης του Twitter επεσήμανε σε ένα νήμα ότι ένας από τους εισβολείς πρόσθεσε ρευστότητα με τη μορφή USD Coin (USDC) και OSMO. Στη συνέχεια, ο εισβολέας έλαβε σε αντάλλαγμα διακριτικά GAMM LP, τα οποία αντιπροσώπευαν το μερίδιό του στη συγκέντρωση. Αυτοί οι δράστες απέσυραν αμέσως τα διακριτικά GAMM LP, κερδίζοντας έτσι 50% επιπλέον από το ποσό των USDC και OSMO που είχαν προστεθεί ως ρευστότητα.
Πρώτα απ 'όλα, προφανώς ένας subredditer το φώναξε πριν από λίγο καιρό - οπότε στηρίγματα σε αυτούς.
➼ Άρα το πορτοφόλι (osmo1hq) είναι ο εκμεταλλευτής.
Πρώτα παρέχει Ρευστότητα με τη μορφή $ USDC (Το επιβεβαίωσα στον πηγαίο κώδικα) + $ OSMO
Στη συνέχεια λαμβάνει $GAMM Μαρκάρια LP σε αντάλλαγμα. pic.twitter.com/K3JzrDRPMN
— Andeh #OnChain (@0xLosingMoney) Ιούνιος 8, 2022
Στη συνέχεια, ο δράστης αντάλλαξε τις μάρκες OSMO με ATOM και τις έστειλε σε άλλα πορτοφόλια. Αυτή η ίδια διαδικασία επαναλαμβανόταν ξανά και ξανά — κάθε φορά που ο εισβολέας κέρδιζε 50% περισσότερα διακριτικά.
Τα περισσότερα από τα έσοδα στο OSMO ανταλλάχθηκαν με την ATOM και μεταφέρθηκαν σε ένα πορτοφόλι που περιέχει μάρκες ATOM αξίας 9 εκατομμυρίων δολαρίων, ανέφερε το νήμα του Twitter. Ωστόσο, αυτό το πορτοφόλι δεν περιλάμβανε τα διακριτικά USDC που απέκτησε ο εισβολέας εκμεταλλευόμενος το σφάλμα — τα διακριτικά USDC δεν ανταλλάχθηκαν ούτε μεταφέρθηκαν, προστέθηκε το νήμα.
Μόλις διασκέδασε,
➼ Στέλνει το $ ΑΤΟΜ σε μια αλυσίδα από άλλα πορτοφόλια.
Είναι δύσκολο να το πει κανείς https://t.co/o02L0T5QtQ σαρωτή πόσο ήταν συνολικά, αλλά παρακολούθησα τα πορτοφόλια και… pic.twitter.com/dchu2pDgQG
— Andeh #OnChain (@0xLosingMoney) Ιούνιος 8, 2022
Το Osmosis προσδιορίζει τους επιτιθέμενους. Το FireStake εμφανίζεται
Τέσσερις δράστες έχουν ταυτοποιηθεί ως οι βασικοί δράστες που έκλεψαν πάνω από το 95% του εκμεταλλευόμενου ποσού, σύμφωνα με ένα νήμα στο Twitter από την Osmosis. Δύο από τους τέσσερις επιτιθέμενους προσφέρθηκαν εθελοντικά να επιστρέψουν όλα τα κλεμμένα χρήματα. Οι άλλοι δύο έχουν συναλλαγές από και προς κεντρικά χρηματιστήρια, τα οποία έχουν ειδοποιηθεί για τον εντοπισμό των δραστών και την ανάκτηση των κεφαλαίων.
Ενημέρωση:
– Έχουν εντοπιστεί 4 άτομα που αντιπροσωπεύουν το 95%+ του πραγματοποιηθέντος ποσού εκμετάλλευσης.
– 2 από τα 4 άτομα έχουν εκφράσει προληπτικά την πρόθεσή τους να επιστρέψουν το εκμεταλλευόμενο ποσό στο ακέραιο.
— Όσμωση; (@osmosiszone) Ιούνιος 8, 2022
Μόλις μια ώρα μετά το Tweet του Osmosis σχετικά με τους επιτιθέμενους, το FireStake - ένας επικυρωτής στο οικοσύστημα του Cosmos - εμφανίστηκε σε ένα Tweet και παραδέχτηκε ότι εκμεταλλεύτηκε το σφάλμα LP, αλλά σημείωσε ότι προσπαθούν να "ορθώσουν τα πράγματα" και συνεργάζονται με την ομάδα Osmosis να επιστρέψουν τα εκμεταλλευόμενα κεφάλαια.
Αγαπητός @osmosiszone κοινότητα, πολλοί από εσάς γνωρίζετε για το σφάλμα Osmosis LP που παρουσιάστηκε χθες.
Με δυσπιστία ότι είναι αληθινό, δύο μέλη του @fire_stake ξεκίνησαν τις δοκιμές για να δουν αν υπήρχε το σφάλμα, οι δοκιμές μετατράπηκαν σε προσωρινή καθυστέρηση στην ορθή κρίση και…
— FireStake | Επικυρωτής (@stake_fire) Ιούνιος 8, 2022
Στη διαδικασία, καταφέραμε να μετατρέψουμε 226 $ USD σε ~ 2 εκατομμύρια $. Σκεφτήκαμε το μέλλον της οικογένειάς μας και όχι το μέλλον της κοινότητάς μας.
Λίγο μετά το κάναμε αυτό, τονίσαμε όλη τη νύχτα για το πώς μπορούμε να βάλουμε τα πράγματα στη θέση τους. Αυτήν τη στιγμή εργαζόμαστε με την ομάδα Osmosis…
— FireStake | Επικυρωτής (@stake_fire) Ιούνιος 8, 2022
να επιστρέψει τα χρήματα το συντομότερο δυνατό. Συνεργαζόμαστε επίσης με την ομάδα της Osmosis για να ενθαρρύνουμε οποιονδήποτε άλλο εκμεταλλεύτηκε αυτήν την κατάσταση να εμφανιστεί και να επιστρέψει χρήματα.
Είστε ευπρόσδεκτοι να έρθετε σε εμάς και μπορούμε να σας βοηθήσουμε να λειτουργήσουμε ως σύνδεσμος. Πρέπει να το διορθώσουμε αυτό.
— FireStake | Επικυρωτής (@stake_fire) Ιούνιος 8, 2022
Πηγή: https://cryptoslate.com/attackers-drain-5-million-from-osmosis-firestake-validator-admits-to-exploiting-lp-bug/