비 파이낸스(Vee Finance) - REKT

3400만 달러를 도난당한 비 파이낸스는 저희의 리더보드 7위에 안착하였습니다.

AVAX가 유명해지면서, 이에 연관된 범죄율도 같이 오르고 있습니다. 이번 사건은 벌써 이번 달에만 아발란체(Avalanche) 네트워크에서 벌어진 두 번째 사건입니다.

9월 12일에 자부 파이낸스(Zabu Finance)가 320만 달러를 도난당했고; 이는 이번 사건의 도난 금액에 비하면 적은 양이었지만, DeFi 드라마에 익숙하지 않은 사람들에게는 여전히 엄청난 양입니다.

우리에게 정상인 것이 다른 사람들에게는 정상이 아닐 수도 있습니다.

3400만 달러가 도난당했으나, 이것은 단지 많은 사건들 중 하나일 뿐입니다.

해커의 ETH 주소: 0xeeee458c3a5eaafcfd68681d405fb55ef80595ba

해커의 AVAX 주소: 0xeeeE458C3a5eaAfcFd68681D405FB55Ef80595BA

해커의 이더리움 주소는 토네이도캐시(TornadoCash)를 통해 세 개의 10 ETH 주소들로 나누었습니다: 첫 번째, 두 번째, 세 번째.

해커는 자금을 아발란체(Avalanche)로 브릿지하여, Pangolin을 통해 26.999006274904347875 WETH.e 를 1,369.708 AVAX 로 스왑하였습니다.

그리고 해커는 해킹 컨트랙트 1을 배포하여 먼저 AVAX를 스왑하여 목표한 토큰으로 변환하고, 다음의 거래 페어들을 만들었습니다:

QI/WETH.e

XAVA//WETH.e

LINK.e/WETH.e

QI/LINK.e

XAVA/LINK.e

XAVA/WBTC.e

LINK.e/WBTC.e

공격 컨트랙트가 5개의 주소로 부터 20 AVAX를 받음으로써, 준비 과정은 모두 끝났고 해킹이 시작될 수 있었습니다.

처음에 가스가 적어서 실패 한 이후에, 해커는 다시 실패 하기 전에 QI/WETH.e pair에서 레버리지 트레이딩을 할 수 있는 동적 컨트랙트를 사용할 수 있었습니다.

새로운 공격 컨트랙트를 배포한 이후에, 같은 과정으로 진행되었고, 이번에는 성공적이었습니다.

AugustusSwapper을 통해 USDT.e 를 ETH.e로 바꾸는 거래 가 진행되었습니다.

그리고 세 번째 공격이 배포되었습니다.

레버리지 트레이딩에서 비 파이낸스는 한가지의 가격 오라클만을 사용합니다: 그것은 Pangolin 풀 안의 자산들의 가격입니다. 새롭게 만들어진 거래 페어에서 거래함으로써, 해커는 비 파이낸스가 가격을 가져오는 과정을 조작할 수 있었습니다.

이 조작은, 가격을 가져오는 과정에서 소수점이하 자리가 제대로 처리되지 않는다는 사실들과 함께, 평소에 프로토콜의 슬리피지 체크에서 통과되지 않았어야 할 트랜잭션들이 통과될 수 있었습니다.

이번 해킹의 더욱 심층적인 분석을 보고 싶으신 분들은 비 파이낸스의 두 번째 사후 분석 보고서 를 확인해주시기 바랍니다.

도난당한 자금은 이 트랜잭션 과 같은 100개 이상의 트랜잭션을 통해 공격이 일어나면서부터 끝날 때까지 다시 이더리움으로 브릿지 되었습니다.

해커의 이더리움 지갑은 현재 214 WBTC ($930만) 와 8,804 WETH ($2690만)를 가지고 있습니다

비 파이낸스의 사건 보고서 에 따르면 “비 팀은 이번 사건을 더욱 명확하게 밝히기 위해 노력하고 있으며, 도난당한 자금을 회수하기 위해 공격자에게 지속적으로 연락을 취할 것"이라고 하고 해커에게 버그 바운티를 제공할 것을 제안하였습니다.

팀은 해커의 이더리움 주소와 아발란체(Avalanche)주소에 다음과 같은 트랜잭션을 보냈고 트위터에도 공유하였습니다:

안녕하세요, 비 파이낸스 팀입니다. 당신이 발견해낸 버그에 대해서 버그 바운티 상금을 제안하고 싶습니다. contact@vee.finance를 통해 연락 부탁드립니다.

다른 트랜잭션들도 메시지를 담고 있었는데, 경고 에서부터;

당신의 주소는 팀이 찾아내었습니다.

자기 프로모션:

안녕하세요 저는 @yannickcrypto 입니다. 트위터 팔로우 부탁드립니다 https://twitter.com/yannickcrypto_

그리고 노골적인 온체인 구걸까지:

형님, 먹을 것도 사지 못하는 불쌍한 저에게 돈을 좀 보내주세요

이 기사를 작성할 당시에도, 형님의 답장은 없었습니다.

비 파이낸스는 Slowmist 오딧(audit) 의 조언을 무시하였고, Certik 오딧(audit) 도 그리 도움이 되진 않았습니다.

어떤 프로젝트든 이러한 "펌핑 그룹"에 나타나는 것은 절대 잘하고 있는 것이 아닙니다.

Vee(V)-자 회복을 할 수 있을까요, 아니면 모든 가치가 진정 사라진 것일까요?

(제발 프로토콜의 이름을 지을 때 익명의 기사 작성자의 노고도 고려해주세요)

저희의 기사가 마음에 드신다면, Gitcoin Grant.로 기부를 부탁드립니다.

REKT는 익명 작성자들에 의한 공공 플랫폼이며, REKT에 작성된 관점이나 내용에 대해서 그 어떤 책임도 지지 않습니다.

기부 (ETH / ERC20): 0x3C5c2F4bCeC51a36494682f91Dbc6cA7c63B514C

disclaimer:

REKT는 당사 웹 사이트의 익명의 작성자 또는 REKT에 의해 게시되거나 관련된 서비스에서 게시되는 콘텐츠에 대해 어떠한 책임도 지지 않습니다. 당사는 익명 작성자들의 행동 및 게시물에 대한 규칙을 제공하지만, 익명의 작성자가 웹 사이트 또는 서비스에 게시, 전송 혹은 공유한 내용을 통제하거나 책임지지 않으며, 귀하가 웹 사이트 또는 서비스에서 직면할 수 있는 불쾌함, 부적절함, 음란함, 불법 또는 기타 해로운 콘텐츠에 대해서도 책임을 지지 않습니다. REKT는 당사 웹 사이트 또는 서비스 사용자의 온라인 또는 오프라인 행위에 대한 책임을 지지 않습니다.