Yksi vanhentunut älysopimus vei rahat kahdesta kryptopankista
- Vanhentunut Rain-sopimusversio altisti usean Solana-korttiohjelman samalle hyökkäykselle, joka vei yhteensä noin 1,1 miljoonaa dollaria.
- Avicilta katosi 500 800 dollaria 1 685 käyttäjältä, ja AVICI-token putosi väliaikaisesti 49 prosenttia.
- Trialta vietiin yli 430 000 dollaria 636 käyttäjältä, ja molemmat yhtiöt lupasivat täydet korvaukset.
- Varastetut varat kierrätettiin Solanan ja Ethereumin kautta Tornado Cash -sekoittimeen.
Hyökkääjä lisäsi itsensä korttien vakuustilien ylläpitäjäksi ja ohjasi varat Solanan ja Ethereumin kautta Tornado Cash -sekoittimeen.
Noin 1,1 miljoonan dollarin arvosta stablecoineja katosi elokuun lopulla useista Solana-verkon korttiohjelmista.
Kaikki nojasivat samaan vanhentuneeseen älysopimusversioon, joka on osa Rain-nimistä maksuinfrastruktuuria.
Rainilla on Visan pääjäsenyys eli oikeus laskea liikkeeseen kortteja suoraan, ja se tarjoaa stablecoin-pohjaista korttitekniikkaa usealle kryptopankille, jotka markkinoivat varojen pysyvän käyttäjän omassa hallinnassa. Isku ei kohdistunut vain yhteen yritykseen vaan paljasti, että itsesäilytykselliseksi kutsuttu korttituote nojaa silti yhteen kolmannen osapuolen sopimuskerrokseen, joka voi pettää kerralla kaikilta sitä käyttäviltä palveluilta.
Kyse on eri mekanismista kuin elokuun aiemmissa, hajautetun rahoituksen (DeFi) protokolliin kohdistuneissa hyökkäyksissä. Term Finance menetti 8,5 miljoonaa dollaria hallintomallin kaappaukseen 24. elokuuta, ja Moonwell 8,7 miljoonaa dollaria lainakaton ohitukseen 29. elokuuta. Nyt kyse ei ole protokollan äänestysoikeuksien väärinkäytöstä vaan korttimaksujen taustalla toimivasta kolmannen osapuolen sopimuksesta.
Pahiten kärsi Avici, kryptopankki, jonka Visa-integroidulla kortilla voi käyttää kryptovaroja arkiostoksiin. Hyökkääjä vei Avicin 1 685 käyttäjältä 500 800 dollaria.
AVICI-token putosi jopa 49 prosenttia vuorokauden huipusta 0,43 dollarista ennätysalhaiseen 0,217 dollariin, ja kurssi toipui osittain.
– Vuoto rajoittui korttien latauksesta vastaaviin sopimuksiin, se ei koskettanut itsesäilytyksellisiä lompakoita, Avici totesi tiedotteessaan.
Yhtiö lupasi korvata kaikki menetetyt saldot täysimääräisesti.
Toinen kryptopankki, Tria, käytti samaa Rain-infrastruktuuria, ja sen 636 käyttäjältä vietiin yli 430 000 dollaria. Sen token laski yli 10 prosenttia, ja yhtiö lupasi niin ikään täyden takaisinmaksun.
Ketjudata näyttää, miten hyökkääjä toimi. Hyökkääjä lähetti toistuvasti saman allekirjoitetun valtuutuksen ja lisäsi itsensä yksittäisten korttien vakuustilien ylläpitäjäksi, minkä jälkeen varat nostettiin niiltä. Varastetut stablecoinit vaihdettiin Solanaksi, siirrettiin Ethereum-verkkoon ja ohjattiin lopulta Tornado Cash -sekoituspalveluun.
Rainin oman selvityksen mukaan haavoittuvuus koski vanhentunutta älysopimusversiota, jota käyttivät Avici "ja pieni joukko muita ohjelmia". Yhtiö päivitti kaikki kyseistä versiota käyttäneet ohjelmat ja kertoi, ettei luvattomia siirtoja ole havaittu sen jälkeen.
Lohkoketjusta jäljitetty 1,1 miljoonaa dollaria ylittää Avicin ja Trian yhteenlasketut, noin 931 000 dollarin tappiot.
Ero viittaa siihen, että isku on osunut myös muihin Rainin varassa toimiviin ohjelmiin. Rain ei ole nimennyt näitä ohjelmia eikä kertonut niiden tappioiden suuruutta.
Avicin käyttöehtojen mukaan kortin liikkeeseenlaskijana toimii Third National, kun taas Rain tarjoaa sen taustalla olevan stablecoin-korttialustan.
Avici on tehnyt tapauksesta ilmoituksen Yhdysvaltain liittovaltion poliisin FBI:n verkkorikosilmoituspalveluun IC3:een. Yhtiö ei ole kertonut, milloin tai miten hyvitykset maksetaan.
