USPD-протокол щойно опублікував оголошення, підтвердивши, що зазнав ретельно спланованої атаки.
Хакер використав досить прихований метод — так звану "CPIMP-атаку" (проксі-посередник із прихованим адмініструванням). Простіше кажучи, ще під час розгортання контракту зловмисник непомітно отримав права адміністратора проксі-контракту. Ще підступніше те, що він замаскував себе під перевірену, нормально функціонуючу версію та так непомітно залишався кілька місяців.
Коли настав слушний момент, було здійснено атаку: випущено близько 98 мільйонів токенів USPD, після чого було виведено приблизно 232 stETH.
Небезпека такого способу атаки полягає в тому, що вона може пройти перевірку аудитом, оскільки зовні все виглядає цілком нормально. Коли це виявляють, втрати вже завдано.
Ця сторінка може містити контент третіх осіб, який надається виключно в інформаційних цілях (не в якості запевнень/гарантій) і не повинен розглядатися як схвалення його поглядів компанією Gate, а також як фінансова або професійна консультація. Див. Застереження для отримання детальної інформації.
8 лайків
Нагородити
8
6
Репост
Поділіться
Прокоментувати
0/400
down_only_larry
· 16год тому
Ого, аудит навіть не виявив це? Ця атака CPIMP просто неймовірна, зловмисник чекав кілька місяців перед запуском — от це витримка!
Переглянути оригіналвідповісти на0
PretendingSerious
· 16год тому
Я ж кажу, чому аудит пройшов, хоча там така велика діра. Виявляється, ще під час деплою все було підготовлено, цей хлопець дійсно жорсткий.
Переглянути оригіналвідповісти на0
BtcDailyResearcher
· 16год тому
Блін, цей метод просто неймовірний — залягли на кілька місяців і тільки зараз почали діяти. Аудит навіть не зміг це виявити? Це просто абсурд!
Переглянути оригіналвідповісти на0
PhantomHunter
· 16год тому
Ого, вони вичікували кілька місяців перед тим, як діяти, яка ж це майстерність... Аудит навіть не зміг це виявити? Я просто хочу знати, як ці люди з USPD взагалі сплять спокійно.
Переглянути оригіналвідповісти на0
HashBandit
· 16год тому
Ось саме тому я не довіряю аудитам, лол... У мої часи майнінгу в нас принаймні була прозорість із хешрейтом, а зараз ці протоколи проходять повз аудиторів, ніби нічого й не було. 232 stETH зникли просто так, жорстко.
Переглянути оригіналвідповісти на0
CryptoDouble-O-Seven
· 16год тому
Та ну, аудит навіть не виявив це? То чому нам тоді вірити?
USPD-протокол щойно опублікував оголошення, підтвердивши, що зазнав ретельно спланованої атаки.
Хакер використав досить прихований метод — так звану "CPIMP-атаку" (проксі-посередник із прихованим адмініструванням). Простіше кажучи, ще під час розгортання контракту зловмисник непомітно отримав права адміністратора проксі-контракту. Ще підступніше те, що він замаскував себе під перевірену, нормально функціонуючу версію та так непомітно залишався кілька місяців.
Коли настав слушний момент, було здійснено атаку: випущено близько 98 мільйонів токенів USPD, після чого було виведено приблизно 232 stETH.
Небезпека такого способу атаки полягає в тому, що вона може пройти перевірку аудитом, оскільки зовні все виглядає цілком нормально. Коли це виявляють, втрати вже завдано.