Ve şimdi diğer haberler;
Bu olayla lider tahtamıza yedi numaradan giriş yaptı.
Ama önümüzdeki hafta bunları hatırlayan olacak mı? Orası şüpheli.
Qubit, Ethereum üzerindeki varlıkları QBridge deposit fonksiyonu aracılığıyla BSC'ye karşı ödünç almak için kilitleyerek zincirler arası teminatlandırmayı sağlar.
Saldırgan, Ethereum tarafında ETH teminatlandırmadan xETH'yi BSC'de kullanıma hazır hale getiren koddaki bir mantık hatasından yararlandı.
Qubit ekibinin otopsisinden:
1. Saldırgan Ethereum ağında, deposit fonksiyonu olan QBridgeHandler’ı aktive eden QBridge deposit function işlevini çağırdı.
2. QBridgeHandler, orijinal tokenAddress olan WETH tokenını almalı ve tx'i gerçekleştiren kişinin WETH tokenı yoksa transfer gerçekleşmemelidir.
3. tokenAddress.safeTransferFrom(depositer, address(this), amount);
4. Yukarıdaki kodda tokenAddress 0'dır, bu nedenle safeTransferFrom başarısız olmadı ve miktar değerinden bağımsız olarak deposit fonksiyonu normal şekilde sona erdi.
5. Ayrıca, tokenAddress, depositETH eklenmeden önceki WETH adresiydi, ancak depositETH eklenince, ETH tokenAddress i olan sıfır(zero) adresiyle değiştirildi.
6. Özetle, deposit fonksiyonu, depositETH yeni oluşturulduktan sonra kullanılmaması gereken bir fonksiyondu, ancak bu kontratta kaldı.
Certik'in analizine göre:
Güvenlik açığının temel nedenlerinden biri, tokenAddress.safeTransferFrom() öğesinin, tokenAddress sıfır (null) adres (0x0…000) olduğunda geri dönmemesiydi.
Ethereum sözleşmesinde herhangi bir ETH'yi kilitlememiş olmasına rağmen, saldırganın BSC adresi artık Qubit'teki borç almalara karşı teminat olarak kullanmak için 77.162 qXETH'ye (185 milyon $) erişime sahipti.
Her şeyi BSC adresinde kalan toplam 200 bin BNB (yaklaşık 80 milyon $) karşılığında değiştirmeden önce bu teminatı WETH, BTC-B, USD stablecoin'leri ve CAKE, BUNNY ve MDX'i ödünç almak için kullandılar.
Qubit belgelerine göre, zincirler arası teminat özelliği Aralık 2021'de denetlendi.
X-Collateral özelliğinin tamamı (kontratlar ve scriptler dahil) profesyonel bir denetim firması olan Theori tarafından denetlenmiştir. Audit sonucu burada.
Mayıs 2021'de Pancake Bunny hacker'ı tarafından bize 100 bin DAI hediye edildi.
Fonları hacklenen ekibe iade ettik ve “bir daha kaybetmeyin” dedik... Dedik ama yine buradayız.
Bağış adresimiz aşağıda listelenmiştir.
REKT, anonim yazarlar için halka açık bir platform olarak hizmet eder, REKT'te bulunan görüşler veya içerik için hiçbir sorumluluk kabul etmiyoruz.
bağış yap (ETH / ERC20): 0x3C5c2F4bCeC51a36494682f91Dbc6cA7c63B514C
sorumluluk reddi:
REKT, Web Sitemizde veya hizmetlerimizle bağlantılı olarak web sitemizin ANON yazarı veya REKT tarafından gönderilen, yayınlanan veya neden olunan hiçbir içerikten hiçbir şekilde sorumlu veya yükümlü değildir. Anon yazarın davranışları ve gönderileri için kurallar sağlamamıza rağmen, onun web sitemizde veya hizmetlerimizde yayınladığı, ilettiği veya paylaştığı şeylerden sorumlu değiliz veya web sitemizde ve hizmetlerimizde karşılaşabileceğiniz herhangi bir saldırgan, uygunsuz, müstehcen, yasa dışı veya başka şekilde sakıncalı olan içerikten sorumlu değiliz. REKT, Web Sitemizin veya Hizmetlerimizin herhangi bir kullanıcısının çevrimiçi veya çevrimdışı davranışlarından sorumlu değildir.
bunu da beğenebilirsin...
Gym Network, “tokenleriniz için mükemmel bir antrenman programı” sunuyor ancak 2,1 milyon dolar kaybederek sakatlandı. Projenin iki denetimi geçen ay yapılmıştı. Neden yeni kodu sahalara bu kadar çabuk sokup sakatlanma riskine giresiniz ki?
Fortress’in surları , bir oracle manipülasyonu ve kötü amaçlı bir yönetişim eylemiyle 3 milyon dolar çalındıktan sonra harabeye döndü. Kullanıcı arayüzü duraklatıldı, ancak kontratlar aktif kaldı. Fortress'in ekosistemi, kullanıcıların kayıp fonlarını karşılamak için kalenin yardımına gelecek mi?
100 milyon dolarlık oktavla yüksek perdeden lider tablosuna giriş yapan Harmony’nin akordu bozuldu. Dokuz basamaklı bir meblağ gerçekten sadece iki imzayla mı güvence altına alındı? Ve bu dinlediğimiz Harmony Network'ün sahnedeki son şarkısı mı?