Протокол Token of Power (TOP) подвергся атаке с целью захвата управления, в результате которой злоумышленник смог выпустить миллиарды токенов TOP и вывести из пула ликвидности Ethereum на сумму около $1,58 млн.
Компания Blockaid, специализирующаяся на безопасности блокчейна, первой забила тревогу в соцсети. Её специалисты заявили, что система обнаружения эксплойтов организации выявила атаку на управление, которая привела к краже 944,2 WETH из пула TOP/WETH Balancer V1, что составляет примерно $1,585 млн.
По данным Blockaid, атака не затронула сам Balancer. Вместо этого пул ликвидности был использован в качестве площадки, где злоумышленник обменивал вновь выпущенные токены TOP на WETH.
Уязвимость была вызвана неправильной настройкой системы управления Aragon DAO, используемой Token of Power. В Blockaid объяснили, что общий объём MiniMeToken в TOP составлял всего 16,384 TOP. Злоумышленник накопил 8,192 токена TOP, что дало ему чуть более 50% права голоса для управления.
Поскольку в системе управления отсутствовала временная блокировка, злоумышленник смог создать, проголосовать и выполнить предложение в рамках одной транзакции. Вредоносное предложение вызвало функцию генерации токенов TokenManager и сгенерировало 10 млрд токенов TOP непосредственно для контракта злоумышленника.
Получив новые токены, злоумышленник немедленно продал их в пул TOP/WETH Balancer V1. В результате этих обменов большая часть ликвидности пула в токенах WETH была выведена.
Исследователь блокчейна 0xsadikbaba сообщил, что злоумышленник совершил более восьми обменов Balancer в рамках одной транзакции. В результате из пула ликвидности было изъято около 945 ETH.
Украденные средства были быстро переведены через Tornado Cash, чтобы скрыть их происхождение. Согласно анализу, злоумышленник совершил несколько депозитов, включая несколько транзакций по 100 и 10 ETH, в течение часа после взлома. В конце отмывания средств в кошельке злоумышленника почти не осталось ETH.
Заместитель главного редактора Happy Coin News. Образование: экономист. Второе образование маркетинг. В криптоиндустрии с 2014 года. Неоднократно выступал в качестве эксперта на РБК. Биткоин — это не спекуляции, а свобода. Но, свобода требует личной ответственности.
