Hvordan nogen lånte $1.6 mio. med sikkerhed for $70: The Tender.Fi Exploit

Hackeren, der stjal 1.59 millioner dollars i kryptoaktiver fra den Arbitrum-baserede decentraliserede finansieringsplatform (DeFi) Tender.fi, har returneret næsten alle midlerne og beholdt omkring 97,000 dollars som en dusørbelønning.

Tender.fi blev udnyttet om morgenen den 7. marts med projektets officielle Twitter-håndtag bekræftelse hændelsen i et tweet få minutter senere.

Tender.fi udnyttet for $1.59 millioner

Ifølge tweetet afslørede Tender.fi, at det havde bemærket og undersøgte et "usædvanligt antal" lån. Platformen satte også sin udlånstjeneste på pause under undersøgelsen.

On-chain data viste, at angriberen udnyttede en orakelfejl. Fejlen tillod hackeren at låne op til $1.59 millioner i ether (ETH) tokens med et depositum på et GMX token til en værdi af $71 som sikkerhed.

Efter udnyttelsen, den hacker til venstre en on-chain besked til Tender.fi, der siger: "Det ser ud til, at dit orakel var forkert konfigureret. kontakt mig for at ordne dette." Dette viser, at udnytteren er en hvid hat hacker.

Et par timer senere afslørede Tender.fi, at det havde kontaktet angriberen for at forhandle og diskutere vilkårene for en dusøraftale.

"Den hvide hat har skabt kontakt over debank, og vi er i øjeblikket i diskussioner om, hvordan vi kan afhjælpe denne situation. Vi vil opdatere dig med mere information, når vi har den,” står der i protokollen.

Hacker beholder $97k som dusør

Syv timer senere afslørede protokollen, at den var blevet enig med hackeren, og pengene ville blive returneret.

Cirka en time senere returnerede hackeren $1.49 millioner og beholdt $96,500 som dusør. Både Tender.fi og blockchain-sikkerhedsfirma PeckShield bekræftet og transaktion.

Oversættelse: The White Hat vil tilbagebetale alle lån minus 62.158670296 ETH, som vil blive opbevaret som en dusør for at hjælpe med at sikre protokollen. Det https://t.co/H4ZMPLH9pz Teamet vil tilbagebetale Bountys værdi til protokollen, så der ikke vil være nogen dårlig gæld, og brugerne forbliver... https://t.co/5bbmKu7zEe

— Tender.fi (@tender_fi) Marts 7, 2023