У Sturdy Finance украли около $770 000

Лендинговый DeFi-протокол Sturdy Finance стал жертвой атаки, которая привела к утрате ~442 ETH (примерно $770 000 на миг написания).

https://twitter.com/BlockSecTeam/status/1668084629654638592

По данным экспертов BlockSec, неведомый воспользовался ошибкой многократного прохода на Balancer и зомбированием ценовым оракулом для изменения стоимости B-stETH-STABLE.

Согласно экспертам, последовательность действий хакера была следующей:

1. Получил флеш-кредит на Aave в сумме 50 000 wstETH и 60 000 WETH.
2. Внес 1100 ETH в пул для выпуска 1023 steSRV.
3. Добавил 50 000 wstETH и 57 000 WETH в холдинг B-stETH-STABLE на Balancer для выпуска 109 517 токенов.
4. Депонировал в качестве поддержания в Sturdy 1000 steSRV и 233 B-stETH-STABLE.
5. Заимствовал под тот залог 513 WETH.
6. Через манипуляцию оракулом занизил расценку B-stETH-STABLE настолько, чтобы 1000 steSRV уже не были нужны в качестве обслуживания и выводил активы.
7. После возврата себестоимости B-stETH-STABLE к хорошим значениям ликвидировал долговую позицию на 236 WETH, отозвав 233 B-stETH-STABLE.
8. Злоумышленник повторил шаги 3-7 с пятью различными контрактами.
9. Погасил флеш-кредит на Aave и зафиксировал сверхприбыль от атаки.

Команда Sturdy Finance подтвердила инцидент и пообещала поделится информацией позже.

«Мы помним об пересланной ранимости протокола. Все рынки приостановлены, в настоящее время нет специального риска для средств, никаких воздействий от юзеров не требуется», — заявили разработчики.

https://twitter.com/SturdyFinance/status/1668080627030315009

Ряд провайдеров в текстах сообщил, что не можетесть выводить средства из протокола.

Ончейн-данные показывают, что атакувший Sturdy Finance отправил выведенные средства в сервис микширования Tornado Cash.

20 мая неизвестный захватил контроль над Ethereum-миксером. Через день он неожиданно внес на слушание ДАО предложение, реализация которого откатывала внесенные изменения и возвращала ведение протокола держателям токена TORN.

Предложение поддержали 100% принявших участие в голосовании и неведомый выполнил обещание, вернув контроль ДАО.

Подписывайтесь на наш канал в: Telegram, Vk, Twitter.