bEarn - REKT

Chaque fin de semaine, une nouvelle perte est à déplorer

La Binance Smart Chain fournit les proies les plus faciles pour le prédateur alpha anonyme.

Les hackers sans scrupules sont prompts à se régaler rapidement du code copié par des développeurs désireux de faire quelques menues économies.

Une autre semaine se termine, et un autre protocole s'en est allé avec celle-ci.

11 millions de dollars se sont volatilisés de bEarnFi.

Ce qui suit est tiré de l'analyse de Peckshield et bEarn.

À partir de 10:36:20 AM +UTC, le 16 mai 2021, le contrat BvaultsBank de BearnFi a été exploité, et près de 11 millions de dollars de fonds ont été drainés de la pool.

L'incident a été rendu possible par un bug dans la logique interne de retrait. Celui-ci lisait de manière incohérente le même montant d'entrée, mais avec des dénominations d'actifs différentes entre la BvaultsBank et la stratégie associée BvaultsStrategy.

La logique de retrait de BvaultsBank suppose que le montant retiré est exprimé en BUSD, tandis que la logique de retrait de BvaultsStrategy suppose que le montant retiré est exprimé en ibBUSD.

Or l'ibBUSD est un token porteur d'intérêts, et sa valeur est supérieure à celle du BUSD.

1 : On emprunte un flash loan depuis CREAM avec 7 804 239,111784605253208456 BUSD, qui est retourné à la dernière étape avec les frais nécessaires pour couvrir le coût du flash loan.

2 : On dépose les fonds empruntés dans BvaultsBank, frais qui sont immédiatement envoyés à la stratégie BvaultsStrategy associée, puis à Alpaca Vault pour le yield. En raison du dépôt ci-dessus, le vault d'Alpaca mint 7 598 066,589501626344403426 ibBUSD en retour à la stratégie BvaultsStrategy.

3 : On farm avec les 7 598 066,589501626344403426 ibBUSD reçus via l'Alpaca FairLaunch.

4 : On retire les 7 804 239,111784605253208533 BUSD de BvaultsBank, ce qui est interprété comme le retrait de 7 804 239,111784605253208533 ibBUSD, soit l'équivalent de 8 016 006,09792806917101481 BUSD.

5 : Au cycle suivant, l'utilisateur dépose encore 7 804 239,111784605253208533 BUSD dans BvaultsBank, et donc vers BvaultsStrategy. Mais avec le reliquat du dernier cycle, BvaultsStrategy crédite l'utilisateur de 8 016 006,09792806917101481 BUSD, qui sont à nouveau utilisés pour le yield via Alpaca.

6 : On répète les étapes ci-dessus pour continuer à accumuler du capital et on finit par sortir en drainant la pool.

7 : On rembourse le flash loan avec 7 806 580,383518140634784418 BUSD.

Les fonds de l'assaillant provenant des exploitations ci-dessus étaient initialement détenus dans ce portefeuille : 47f3.

Une nouvelle semaine commence. Le hacker est-il retourné plus riche à son job du quotidien, ou planifie-t-il ses attaques le week-end en espérant attirer moins d'attention ?

Le boom des copies de code sur la BSC a engendré une multitude de nouvelles opportunités pour tout développeur qui cherche à exploiter des protocoles. Alors que nous assistons à l’émergence et au déclin rapides de la TVL sur la BSC, il apparaît encore plus évident que le temps est l'audit le plus précieux de tous.

La longévité suggère la sécurité, et vice versa.

À quand le prochain rekt ?

Photographie par Ray Metzker

REKT sert de plateforme publique pour des auteurs anonymes, nous déclinons toute responsabilité quant aux opinions ou contenus hébergés sur REKT.

faites un don (ETH / ERC20): 0x3C5c2F4bCeC51a36494682f91Dbc6cA7c63B514C

avertissement:

REKT n'est responsable en aucune manière du contenu publié sur notre site Web ou en lien avec nos Services, qu'il soit publié ou occasionné par l'Auteur Anon de notre site Web, ou par REKT. Bien que nous fournissions des règles pour la conduite et les publications de l'Auteur Anon, nous ne contrôlons pas et ne sommes pas responsables de ce que l'Auteur Anon publie, transmet ou partage sur notre site Web ou nos Services, et ne sommes pas responsables de tout contenu offensant, inapproprié, obscène, illégal ou autrement répréhensible que vous pourriez rencontrer sur notre site Web ou nos Services. REKT ne saurait être tenu responsable de la conduite, en ligne ou hors ligne, de tout utilisateur de notre site Web ou de nos services.