Кредитное приложение Era Lend на zkSync было использовано для криптовалюты на сумму 3,4 миллиона долларов, согласно отчету компании CertiK, занимающейся безопасностью блокчейнов, от 25 июля. Злоумышленник использовал «атаку с повторным входом только для чтения» для слива средств, которая является типом атаки, которая прерывает многоэтапный процесс, а затем заставляет его продолжаться после выполнения вредоносного действия. В частности, повторный вход «только для чтения» не обновляет состояние контракта.
#CertiKSkynetAlert
Мы видим сообщения об использовании @Era_Lend в zkSync.
Общие потери в атаке с повторным входом только для чтения составляют 3,4 миллиона долларов.
Подробнее см. ниже https://t.co/h8xrjccE5i
— Предупреждение CertiK (@CertiKAlert) 25 июля 2023 г.
Согласно отчету, злоумышленник вывел средства двумя отдельными транзакциями, используя внешний аккаунт 0xf1D076c9Be4533086f967e14EE6aFf204D5ECE7a. Они полагались на уязвимость в «функции обратного вызова и _updateReserves», чтобы манипулировать контрактом и сообщать о старых значениях, которые еще не были обновлены.
Era Lend является ответвлением проекта Syncswap, и CertiK заявила, что другие проекты, основанные на Syncswap, также могут быть уязвимы для эксплойта.
Сетевой сыщик и пользователь Twitter Spreek сообщил, что код Syncswap позволяет пользователю «записать, а затем выполнить обратный вызов перед вызовом update_reserves», в результате чего оракул сообщает неверные значения.
в токенах syncswap LP можно записать, а затем выполнить обратный вызов перед вызовом update_reserves. поэтому оракул использует неверное значение запасов для расчета цены, что приводит к завышению цены оракула. pic.twitter.com/0U7Vu7BzJM
— Сприк (@spreekaway) 25 июля 2023 г.
Spreek также сообщил, что команда Era Lend признала атаку и приостановила контракты zkSync протокола, чтобы предотвратить дальнейшие эксплойты.
Другой исследователь блокчейна, известный в Твиттере как Сол, сообщил, что атака затронула стейблкоин USDC+, выпущенный протоколом Overnight Finance. По словам Сола, команда Overnight признала разоблачение и также приостановила свои собственные контракты. Возможно, было потеряно более 261 000 долларов США, или 7,86% от общей стоимости залога, поддерживающего стейблкоин.
В сообщении в блоге от 7 июня, объясняющем, как выполняются атаки с повторным входом только для чтения, под псевдонимом исследователя блокчейна Officer’s Notes говорится, что эти уязвимости трудно обнаружить аудиторам, поскольку «обычно аудиторы и охотники за ошибками интересуются только точками входа, которые изменяют состояние при поиске повторного входа».
Чтобы решить эту проблему, Officer’s Notes рекомендует аудиторам использовать специализированное программное обеспечение, помогающее им находить эти уязвимости.
Era Lend работает в сети zkSync, накопительном пакете Ethereum уровня 2 с нулевым разглашением. В апреле общая стоимость заблокированной сети превысила 110 миллионов долларов. Разработчики сети намерены к концу года создать экосистему интероперабельных цепочек под названием «Гиперчейны».
Источник: Сointеlеgrаph
