Beanstalk Farms, stablecoinový protokol založený na Ethereu, byl v neděli zneužit za 182 milionů dolarů.
Na útok upozornila na Twitteru blockchainová bezpečnostní firma PeckShield, která uvedla, že útočník si odnesl nejméně 80 milionů dolarů v kryptoměnách, ačkoli ztráty, které protokol utrpěl, byly mnohem větší.
V důsledku útoku se zhroutil trh se stablecoinem BEAN společnosti Beanstalk. V době tisku se token podle CoinGecko propadl o 86 % oproti svému 1 USD.
1/ @BeanstalkFarms byl zneužit v přívalu txs (https://t.co/PMsdP5dnJG a https://t.co/wyHe3ARZgU),
což vedlo k zisku více než 80 milionů dolarů pro hackera (Ztráta protokolu může být větší), včetně 24 830 ETH a 36 milionů BEAN.- PeckShield Inc. (@peckshield) 17. dubna 2022
Když jsme byli požádáni o komentář, Beanstalk odkázal CoinDesk na příspěvek na svém serveru Discord, který shrnuje, jak k útoku došlo.
Podle shrnutí si útočník vzal bleskovou půjčku na úvěrové platformě Aave, která mu umožnila nashromáždit velké množství nativního tokenu správy společnosti Beanstalk, Stalk. Díky hlasovacímu právu, které tyto tokeny Stalk poskytují, byl útočník schopen rychle přijmout škodlivý návrh na správu, který odčerpal všechny prostředky protokolu do soukromé peněženky Ethereum.
Vedoucí projektu to napsali ve shrnutí útoku:
„Beanstalk nepoužil opatření odolné proti bleskové půjčce, aby určil % Stalk, které hlasovalo pro BIP. To byla chyba, která hackerovi umožnila zneužít Beanstalk.“
Inteligentní kontrakty společnosti Beanstalk byly auditovány firmou Omnicia, která se zabývá bezpečností blockchainu. Audit však byl dokončen ještě před zavedením zranitelnosti flash loan, uvedla firma v nedělní postmortem.
Beanstalk odmítl poskytnout CoinDesk podrobnosti o tom, zda budou prostředky vráceny uživatelům, s tím, že další novinky přijdou na radnici naplánované na neděli.
Podle PeckShield se zdálo, že útočník věnoval 250 000 dolarů z ukradených prostředků na ukrajinské pomoci peněženky.
Jedná se o poslední z řady velkých zneužití decentralizovaných financí (DeFi), ke kterým došlo v posledních několika týdnech. V březnu byl zneužit Ronin Blockchain společnosti Axie Infinity v hodnotě 625 milionů dolarů při útoku, který americké úřady spojují se Severní Koreou.
