Протокол Visor Finance - REKT

Visor позволял некоторым контрактам чеканить вознаграждения в неограниченном количестве.

Вчера анонимный игрок воспользовался этим подарком и вывел с платформы 8.8M VISR, которые по ценам до хака стоили $8.2 миллиона.

Хакер все-таки пострадал в момент слива VISR через пул VISR-ETH на Uniswap.

-87%

rekt.

В июне Visor, протокол для управления ликвидностью, ориентированный на Uni v3, отделался потерей $500 000 (при $3M TVL на тот момент) по причине бреши в системе безопасности.

Затем в прошлом месяце проект стал жертвой того, что команда Visor в свое оправдание назвала “экономическим арбитражем”.

Разве тот факт, что они “полагались на спотовые цены при выпуске долей” не считается багом в смарт-контракте?…

Что произошло в этот раз?

Адрес хакера: 0x8efab89b497b887cdaa2fb08ff71e4b3827774b2,

на который были переведены средства с Tornado Cash за несколько минут до осуществления атаки.

Из-за уязвимости проверки require() функции deposit() в контракте vVISR Rewards, хакер смог начеканить неограниченное количество долей, используя свой собственный контракт.

До тех пор, пока хакер выдает свой собственный адрес за “from” и в контракте есть метод Owner() от msg.sender, он может чеканить так много долей, как ему хочется, на любой адрес, используя vvisr.mint().

Источник: @storming0x

Хакер перенес владение контрактом на свой адрес, прежде чем выполнить транзакцию эксплоита, начеканив 195k токенов vVISR.

Эти токены затем были сожжены в обмен на 8.8M VISR, прежде чем был произведен обмен на ETH на Uniswap v2 и затем отмывание через Tornado Cash с помощью этой и 6 последовавших транзакций, объем которых пока что оценивается в 113 ETH ($450k).

В своем официальном пост-мортеме Visor предложили мигрировать токены, основываясь на снэпшоте, сделанном до эксплоита.

Они также утверждают, что:

“В декабре и январе у нас предусмотрены аудиты совместно с Quantstamp и ConsenSys Diligence, и этот новый стейкинговый контракт будет в них включен.”

Так как всем пользователям возместят потери, то похоже, что пострадала только репутация команды Visor.

По меньшей мере они получат опыт пост-хакового PR...

Как написал BlockSec в Twitter:

"Раз уж в прошлый раз хак назвали арбитражем, то может в этот раз назовем его аирдропом?"

REKT представляет собой общественную площадку для анонимных авторов. Мы не несём ответственность за выражаемые точки зрения или контент на этом веб-сайте.

Пожертвование (ETH / ERC20): 0x3C5c2F4bCeC51a36494682f91Dbc6cA7c63B514C

Дисклеймер:

REKT не несет никакой ответственности за любое содержание, размещенное на нашем Веб-сайте или имеющее какое-либо отношение к оказываемым нами Услугам, независимо от того, было ли оно опубликовано или создано Анонимным Автором нашего Веб-сайта или REKT. Не смотря на то, что мы устанавливаем правила поведения и нормы публикаций для Анонимных Авторов, мы не контролируем и не несем ответственность за содержание публикаций Анонимных Авторов, а также за то, чем делятся и что передают Авторы с помощью нашего Сайта и наших Сервисов, и не несем ответственность за любое оскорбительное, неуместное, непристойное, незаконное или спорное содержание, с которым вы можете столкнуться на нашем Веб-сайте и на наших Сервисах. REKT не несет ответственность за поведение, будь то онлайн или офлайн, любого пользователя нашего Веб-сайта или наших Сервисов.