【Bitpush】Стабільної монеті USPD нещодавно добряче дісталося — проєкт постраждав від хакерської атаки, втрати перевищили мільйон доларів США.
Офіційно підтверджено, що протокол зламано. Атакуючий діяв брудно: несанкціоновано карбував токени й одразу викачав ліквідність з пулу. Зараз команда терміново повідомляє: всі користувачі мають негайно відкликати дозволи на токени USPD у смарт-контракті, інакше ризикують стати жертвами повторної атаки.
Схема атаки була досить підступною, її називають “CPIMP” атакою. Хакер втрутився ще на етапі деплойменту контракту — через Multicall3 випередив ініціалізацію проксі, одразу захопив адмінські права й замаскував шкідливий контракт під начебто аудований. Уся ця схема залишалася непоміченою кілька місяців і викрилася лише під час останнього оновлення проксі.
Цифри вражають: атакуючий накарбував близько 98 млн USPD і вивів приблизно 232 stETH. Команда вже опублікувала адреси хакерів — основні це 0x7C97…9d83 (Infector) і 0x0833…215A (Drainer).
Зараз команда співпрацює з правоохоронцями та білими хакерами, щоб відстежити рух коштів. Вони запропонували хакеру умову: якщо добровільно поверне кошти, може залишити собі 10% у якості винагороди. Але судячи з усього, це більше формальність.
Ця сторінка може містити контент третіх осіб, який надається виключно в інформаційних цілях (не в якості запевнень/гарантій) і не повинен розглядатися як схвалення його поглядів компанією Gate, а також як фінансова або професійна консультація. Див. Застереження для отримання детальної інформації.
8 лайків
Нагородити
8
7
Репост
Поділіться
Прокоментувати
0/400
BitcoinDaddy
· 12-05 06:57
Знову ця стара схема: ще на етапі розгортання вже зламали, аудит фактично нічого не вартий. У цій сфері все надто заплутано.
Переглянути оригіналвідповісти на0
DefiPlaybook
· 12-05 06:56
Знову та сама схема, ще на етапі деплойменту заклали міну, як це аудитор не помітив? Ця атака CPIMP справді брудна, кілька місяців ховали, поки не спалилися... Чесно кажучи, такі вразливості мали би вже давно стати стандартом для індустріального захисту.
---
98 мільйонів токенів створено з повітря — ось вам і ціна централізованого управління, навіть права на ранній вихід можна просто передати, це як хвиля 2020 року.
---
Терміново відкликайте дозволи, але проблема в тому, що вже виведені кошти... Які шанси на відновлення?
---
Цю хвилю ще можна повернути чи знову просто додадуть нові адреси в чорний список — відчуття, що плани реагування в криптосвіті ніколи не оновлюються.
---
232 stETH використовують як заманеться, атакуючий прямо демонструє, що таке "не залишати слідів", навіть міксер не потрібен.
---
Суть у тому, що аудит смарт-контрактів досі на дуже низькому рівні, якість коду, що проходить аудит, дуже різна.
Переглянути оригіналвідповісти на0
MEVictim
· 12-05 06:48
Чорт забирай, знову те саме? Уже на етапі деплойменту підставили, а це вдалося приховати так довго, аудитори що, спали?
Переглянути оригіналвідповісти на0
MemeTokenGenius
· 12-05 06:45
Знову ці підводні камені на етапі розгортання, чого їх ніхто не помітив два місяці тому... Назва CPIMP вже звучить підозріло, зачекайте, я ще перевірю, чи не залишилося в мене в гаманці цієї дурної монети.
Переглянути оригіналвідповісти на0
WalletDivorcer
· 12-05 06:42
Знову стейблкоїн обвалився, аудит нічого не дав, ще на етапі деплойменту контракту вже пробили діру наскрізь.
Переглянути оригіналвідповісти на0
LightningSentry
· 12-05 06:39
Чорт, знову ця атака на рівні смарт-контракту. Я ж казав, ці аудити безпеки від проєктів — суцільна формальність.
Переглянути оригіналвідповісти на0
ETHmaxi_NoFilter
· 12-05 06:31
Ще одна діра на мільйон, і цього разу це ще й стейблкоїн? Смішно, а де ж обіцяний аудит, за кілька місяців навіть не виявили?
Стейблкоїн USPD був викрадений хакерами на мільйон доларів, атака "CPIMP" ховалася кілька місяців і зрештою призвела до краху
【Bitpush】Стабільної монеті USPD нещодавно добряче дісталося — проєкт постраждав від хакерської атаки, втрати перевищили мільйон доларів США.
Офіційно підтверджено, що протокол зламано. Атакуючий діяв брудно: несанкціоновано карбував токени й одразу викачав ліквідність з пулу. Зараз команда терміново повідомляє: всі користувачі мають негайно відкликати дозволи на токени USPD у смарт-контракті, інакше ризикують стати жертвами повторної атаки.
Схема атаки була досить підступною, її називають “CPIMP” атакою. Хакер втрутився ще на етапі деплойменту контракту — через Multicall3 випередив ініціалізацію проксі, одразу захопив адмінські права й замаскував шкідливий контракт під начебто аудований. Уся ця схема залишалася непоміченою кілька місяців і викрилася лише під час останнього оновлення проксі.
Цифри вражають: атакуючий накарбував близько 98 млн USPD і вивів приблизно 232 stETH. Команда вже опублікувала адреси хакерів — основні це 0x7C97…9d83 (Infector) і 0x0833…215A (Drainer).
Зараз команда співпрацює з правоохоронцями та білими хакерами, щоб відстежити рух коштів. Вони запропонували хакеру умову: якщо добровільно поверне кошти, може залишити собі 10% у якості винагороди. Але судячи з усього, це більше формальність.