小烏鴉Max|Demi #0604

🪐Co-Founder of Demiverse Studio (Demi-Human NFTs) 🐦Lil Crow|lilcrowz.eth AKA Demi-Max、鴉媽 我的各項連結:https://linktr.ee/soaringcrowz

新聞分享:駭客從NFT貸方Omni處榨取了價值140萬美元的ETH

據PeckShield稱,Omni是一個NFT借貸市場平台,在週日的一次閃電貸重入攻擊中耗盡了約 1,300 ETH。
圖片來源:The Block

新聞來源媒體:The Block

新聞連結:點我看文章

【重點摘要】

據PeckShield稱,Omni是一個NFT借貸市場平台,在週日的一次閃電貸重入攻擊中耗盡了約 1,300 ETH。
Omni允許用戶質押他們的NFT,通常來自BAYC等流行收藏品,以接收ETH等代幣。 
在今天的攻擊中,駭客利用了Omni協議中的可重入漏洞。可重入性是使用Solidity編碼的項目中的一個已知漏洞,它允許粗暴使用者強制其智能合約對不受信任的合約進行外部調用。該外部調用在原始函數之前執行,因此可用於重複重新進入協議以耗盡其流動性。
區塊鏈安全公司BlockSec的CEO Yajin Zhou向The Block解釋了漏洞利用的過程,稱攻擊者抵押了Doodles,這些NFT被用作抵押品來借用WETH。
然後,攻擊者通過提取除一個作為抵押品存放的 NFT 之外的所有NFT來利用可重入漏洞。此操作觸發了惡意回調函數,使攻擊者受益。此功能允許駭客在清算貸款頭寸之前使用借來的資金購買更多的Doodles。

平倉後,原始抵押品中剩餘的Doodle NFT將返還給攻擊者。貸款頭寸被清算,因為在調用回調函數之前最初作為抵押品的NFT的價值不足以覆蓋債務頭寸。這就是重入漏洞會被利用的地方,因為攻擊者能夠在清算發生之前強制使用借來的WETH購買更多的NFT。
雖然攻擊者使用初始貸款獲得的Doodles作為抵押品借入更多WETH。然而,Omni並沒有承認這個新的債務,因此駭客可以在不償還貸款的情況下撤回NFT。
這次攻擊從協議中消耗了超過1,300 WETH。Omni表示,該漏洞不會影響任何客戶資金,因為只有內部測試資金受到影響,因為該平台仍處於beta測試模式。
Omni表示,它已暫停該協議,等待全面調查。來自Etherscan的數據顯示,駭客已經通過 Tornado Cash完成洗錢(這是一種用於以太坊私人交易的代幣混合服務)。

圖片來源:OpenSea

【想法】

其實很多新的協議和項目都很容易成為駭客下手的目標,所以合約內容和資訊安全性就特別重要;為什麼每天都有人錢包被盜,除了因為不夠警惕外,更多原因是因為這些詐騙和駭客的手法越來越新,當你以為你學會了,應該不至於被騙的時候,他們又推出了新的詐騙方式。

不得不佩服駭客的精神,不僅要花時間找到各平台的問題,並研究其漏洞,找到之後,還要懂得如何去操作,才有辦法獲利;但不是鼓勵這樣操作,而是要說明,今天駭客為了獲利,都這麼認真去學習和研究了,那麼我們有這麼認真過嗎?

所以也不要說做詐騙的錢很好賺,至少他們懂得一定比較多,獵人要抓獵物,不只要懂的如何設計陷阱、還要想方設法誘導獵物跳進去,這些都是知識的累積;很多人都想在這個市場暴富跟獲利,那麽...累積了多少知識呢?

【事件相關連結】

攻擊交易紀錄
OmniProtocol Exploiter

【延伸閱讀】

Ethereum mixer Tornado Cash announces new upgrades

Like my work??
Don't forget to support or like, so I know you are with me..

CC BY-NC-ND 2.0

新聞分享:英國央行表示因加密市場波動,需要「加強監管和執法框架」

新聞分享:新加坡監管機構正在考慮更嚴格的加密政策

1

Want to read more ?

Login with one click and join the most diverse creator community.