Euler Finance блокирует уязвимый модуль, работая над возвратом средств

Протокол кредитования децентрализованного финансирования (DeFi) Euler Finance стал жертвой атаки на мгновенное кредитование 13 марта, что привело к крупнейшему взлому криптовалюты в 2023 году. Протокол кредитования потерял почти 197 миллионов долларов в результате атаки, а также затронул более 11 других протоколов DeFi.

14 марта Euler опубликовал обновленную информацию о ситуации и уведомил своих пользователей о том, что они отключили уязвимый модуль etoken для блокировки депозитов и уязвимой функции пожертвований.

Фирма заявила, что они работают с различными группами безопасности для проведения аудита ее протокола, а уязвимый код был проверен и одобрен в ходе внешнего аудита. Уязвимость не была обнаружена в рамках аудита.

Один из наших партнеров по аудиту, @Omniscia_sec, подготовил техническое вскрытие и подробно проанализировал атаку. Вы можете прочитать их отчет здесь: https://t.co/u4Z2xdutwe

Короче говоря, злоумышленник использовал уязвимый код, который позволил ему создать необеспеченный токен-долг… https://t.co/FGnPqvYUGB

— Euler Labs (@eulerfinance) 14 марта 2023 г.

Уязвимость оставалась в сети в течение восьми месяцев, пока ее не использовали, несмотря на вознаграждение за обнаружение ошибок в размере 1 миллиона долларов.

Sherlock, аудиторская группа, которая в прошлом работала с Euler Finance, проверила основную причину эксплойта и помогла Euler подать претензию. Протокол аудита позже проголосовал за иск на 4,5 миллиона долларов, который был принят, а затем 14 марта была произведена выплата в размере 3,3 миллиона долларов.

В своем аналитическом отчете аудиторская группа отметила существенный фактор эксплойта: отсутствие проверки работоспособности в «donateToReserves», новой функции, добавленной в EIP-14. Однако в протоколе подчеркивалось, что атака была технически возможна даже до EIP-14.

Связанный: более 280 блокчейнов подвержены риску эксплойтов «нулевого дня», предупреждает охранная фирма

Шерлок отметил, что аудит Эйлера, проведенный WatchPug в июле 2022 года, пропустил критическую уязвимость, которая в конечном итоге привела к эксплойту в марте 2023 года.

Точно так же Шерлок стоит за каждым аудитором, рецензировавшим Эйлера.

Сначала Шерлок работал с @cmichelio над аудитом первой версии Euler в декабре 2021 года, затем с @shw9453 над аудитом очень небольшого обновления в январе 2022 года и, наконец, с @WatchPug_ над аудитом EIP-14 в июле 2022 года.

— ШЕРЛОК (@sherlockdefi) 13 марта 2023 г.

Эйлер также обратился к ведущим компаниям, занимающимся аналитикой и безопасностью блокчейна, таким как TRM Labs, Chainalysis и более широкому сообществу безопасности ETH, чтобы помочь им в расследовании и возврате средств.

Эйлер уведомил, что они также пытаются связаться с ответственными за атаку, чтобы узнать больше о проблеме и, возможно, договориться о награде за возвращение украденных средств.

Источник: Сointеlеgrаph