DeFi-проект THORChain приостановил работу из-за атаки хакеров

Протокол THORChain потерял, по предварительным оценкам, $4,9 млн в криптовалюте из-за атаки хакеров. Для ликвидации последствий инцидента все операции в сети приостановлены на основании консенсуса нод.

1/5 @THORChain Exploit Update :

Loss:
Approx ~$4.9mm USD was taken in the exploit, far less than the intitial figures posted earlier. A granular breakdown is being developed by the community.

— THORchain.BULL (@THORmaximalist) July 16, 2021

DeFi-проект THORChain — протокол ликвидности, позволяющий обменивать между собой активы различных блокчейнов без необходимости передавать их третьей стороне. 

Ранее команда проекта сообщила, что злоумышленники вывели из протокола 13 000 ETH (~$24,76 млн на момент написания). Затем эту сумму скорректировали до 4000 ETH (~$7,62 млн).

At this stage the estimate is around ~4000 ETH worth of assets (ETH/ERC20) was taken, not 13k ETH.

More detailed assessment and recovery steps will be announced soon.

The users who suffered (LPs) will be made whole in the coming weeks. https://t.co/LR2x8VZ2kx

— THORChain #ACTIVATETHESYNTHS⚡️ (@THORChain) July 15, 2021

Согласно собранным сообществом данным, ущерб оказался ниже — менее $5 млн. На адресе, помеченном сервисом Etherscan как причастный к атаке, находятся активы стоимостью $4,58 млн. 

The community put together a doc on the attack on @THORChain today. If you add up the assets stolen, it amounts to less than $5m USD.https://t.co/y2n7scjls7

— Chad Barraford #BRINGTHECHAOS (@CBarraford) July 16, 2021

Команда проекта обещала подробно рассказать об инциденте, когда выяснит все детали. Известно, что злоумышленники смогли «обмануть» службу Befrost, отвечающую за подключение нод к блокчейнам и релазиацию транзакций-свидетелей (witness transactions). 

2/5 Method:

ETH Bifrost was tricked using a custom wrapper to read a deposit amount of 200 when it was actually zero. More details will be provided in the upcoming post mortem blog.

— THORchain.BULL (@THORmaximalist) July 16, 2021

«ETH Bitfrost был обманут кастомной оберткой, заставившей его считать сумму депозита равной 200, когда на самом деле она была нулевой», — рассказал участник сообщества под ником THORchain.BULL.

Технический директор проекта Чад Баррафорд сообщил, что команда THORChain уже обнаружила ошибку в кодовой базе и внесла предложение по улучшению протокола. Если сообщество одобрит изменения, в течение 24 часов разработчики имплементируют патч и возобновят операции в сети. 

The bug in the code has been found by the team and a PR has already been opened to resolve the prob. If the community approves the change, the fix to @THORChain will be pushed out and trading resumed in ~24hrs I'm guessing. $RUNEhttps://t.co/g3AYszG8Gi

— Chad Barraford #BRINGTHECHAOS (@CBarraford) July 16, 2021

Команда проекта отметила, что у резервного фонда THORChain хватит средств для покрытия убытков поставщиков ликвидности Ethereum. Однако разработчики попросили организаторов атаки выйти с ними на связь для «обсуждения возврата средств и выплаты адекватного вознаграждения за обнаружение уязвимости».

Разработчики также сообщили, что за атаку злоумышленникам пришлось заплатить крупные комиссионные — около $1,4 млн нодам и еще столько же поставщикам ликвидности токенов стандарта ERC-20. 

The attacker paid huge slip fees, approx $1.4m was captured by nodes, with further $1.4m by ERC20 LPs.

Only users affected are ETH LPs, and they will be made whole.

So despite the exploit, Nodes, LPs and Arbers will stand to profit considerably.

— THORChain #ACTIVATETHESYNTHS⚡️ (@THORChain) July 16, 2021

В THORChain подчеркнули, что сейчас проект работает в тестовой сети Chaosnet, предназначенной для «боевых испытаний», а потому атаки «были неизбежны и всегда просчитывались».

Attacks on Thorchain were inevitable and always calculated with.

The protocol is being battle tested and will harden with each attack.

Rather 50 succesful attacks now than 1 a few years from now.

Fix and iterate, onwards $RUNE

— Bitcøin_Sage⚡ (@Bitcoin_Sage) July 16, 2021

«Лучше 50 успешных атак сейчас, чем одна через несколько лет», — отметил разработчик с ником Bitcoin_Sage.

Собственный токен проекта RUNE занимает 64 строчку рейтинга CoinGecko с капитализацией $1,3 млрд. За последние сутки его цена снизилась на более чем 14%. На момент написания актив торгуется на отметке $4,79.

Ранее хакеры вывели из различных DeFi-проектов более $4 млн в криптовалюте из-за уязвимости в смарт-контракте межсетевого моста ChainSwap.

Напомним, в июне DeFi-протокол SafeDollar на блокчейне Polygon подвергся хакерской атаке, а его стейблкоин обесценился. Злоумышленники воспользовались уязвимостью, которая позволила им выпускать актив в неограниченном количестве.