Проект маржинальної торгівлі Ethereum зазнав хакерської атаки на 300 тисяч доларів

30 березня 2025 року проект маржинальної торгівлі, що працює на Ethereum, став мішенню для хакерської атаки, що призвело до втрат активів на понад 300 тисяч доларів. Команда безпеки провела глибокий аналіз цієї події, розкривши деталі та причини атаки.

Фон події

Зловмисник скористався вразливістю, що виникла внаслідок впровадження функції тимчасового зберігання у версії Solidity 0.8.24. Тимчасове зберігання — це нове місце для зберігання даних, яке покликане забезпечити низьку вартість і ефективне тимчасове зберігання під час транзакції. Однак реалізація цієї функції в проекті мала недоліки, що стало проривом для хакерської атаки.

Принцип атаки

Суть атаки полягає в тому, що дані в транзитному сховищі залишаються дійсними протягом усього періоду угоди, а не очищуються після завершення кожного виклику функції. Зловмисник майстерно скористався цією властивістю, обійшовши механізм перевірки прав у контракті завдяки ретельно спроектованій послідовності угод.

Кроки атаки

1. Зловмисник створює два кастомні токени та створює пул ліквідності для цих двох токенів на певному DEX.
2. Використовуючи ці два токени, створити новий ринок маржинальної торгівлі в цільовому проекті.
3. Через внесення боргових токенів для випуску маржинальних токенів, одночасно залишаючи певне значення у транзитному сховищі.
4. Створіть адресу, що відповідає значенню в тимчасовому сховищі, з шкідливим контрактом.
5. Використовуючи цей шкідливий контракт, викликайте функцію зворотного виклику цільового контракту, обходячи перевірку прав доступу.
6. Нарешті, безпосередньо витягніть інші цінні токени з цільового контракту.

Ситуація зі збитками

Згідно з аналізом в ланцюгу, зловмисник успішно викрав близько 300 тисяч доларів активів, включаючи:

• 17 814,8626 доларів США
• 1,4085 WBTC
• 119.871 ЗХ.

Зловмисник потім перетворив усі вкрадені активи на WETH і перемістив їх до певного анонімного інструменту.

Рекомендації щодо безпеки

Щоб запобігти подібним атакам, команда проекту повинна:

1. Після завершення виклику функції, що використовує тимчасове сховище, негайно очистіть збережене значення.
2. Посилити аудит кодів контрактів та процеси тестування безпеки.
3. Обережно використовуйте нові мовні особливості, повністю розуміючи їх потенційні ризики.

Ця подія знову нагадує нам, що, незважаючи на швидкий розвиток технології блокчейн, проблеми безпеки залишаються постійним викликом. Розробники проектів повинні завжди бути насторожі, постійно оновлювати практики безпеки, щоб захистити активи користувачів.