AUDIUS - REKT

Spotify’ın web3’teki karşılığı olan Audius, native token'ı AUDIO'nun 6 milyon dolarını kaybettiği bir yönetişim saldırısının kurbanı oldu.

Saldırgan, fonları yaklaşık 1 milyon dolara piyasaya boşaltmadan önce doğrudan hazineden transfer edebilecek kötü niyetli bir proposal’ı geçirdi.

AUDIO, kullanıcı ödülleri ve sanatçı ikramiyelerinin yanı sıra müzik akışı hizmetinde yönetişim maksadıyla da kullanılmaktadır.

Alarm sesleri yükselmeye başladıktan kısa bir süre sonra Audius, “yetkisiz transfer”i duyururken, olayı araştırmak için de yardım istedi: “Müdahale ekibimize yardımcı olmak istiyorsanız, lütfen bize ulaşın.”

Dur, geri sar, oynat…

Kaynak: Audius, Spreek

Resmi otopsiye göre saldırgan, çok sayıda yönetişim tokenını kendisine devrederek ve kötü niyetli teklifleri sınırlamaya yönelik önlemleri atlamayı başararak yönetişim kontratlarını yeniden başlatabildi.

Ardından, büyük ölçüde artan oylama gücü ile, 18M AUDIO tokenını hazineden direkt olarak kendi adresine transfer etmesini sağlayan proposal’ı da onaylayabildi.

Audius, yönetişim kontratlarında herhangi bir güncelleme yapmak için AudiusAdminUpgradabilityProxy'yi kullanır. proxyAdmin adresi, bellek slotu 0'da ana yönetişim kontratının adresi olarak ayarlanmıştır.

Ancak bu, OpenZeppelin'in Initializable kontratında bir çakışma yaratır ve saldırganın yönetişim kontratının kontrolünü ele geçirmesine ve Audius'un Yönetişim, Staking ve DelegateManagerV2 kontratlarından herhangi birinde parametreleri değiştirmesine izin veren bir hataya yol açar.

Daha fazla ayrıntı için, depolama çakışmalarıyla (storage collisions) ilgili OpenZeppelin belgelerine [bakınız](https://docs.openzeppelin.com/upgrades-plugins/1.x/proxies#unstructured-storage-proxies.

Otopsi, saldırganın eylemlerini şu şekilde özetlemektedir:

Saldırgan (1) Audius protokolünde oylamayı yeniden tanımlayabildi ve yönetişim kontratının koruyucu adresini değiştirebildi (2) Hem Staking hem de DelegateManagerV2 kontratlarının yönetişim adresini Audius yönetişiminin kontratının (0xbdbb5945f252bc3466a319cdcc3ee8056bf2e569) özel dağıtımına göre ayarlayabildi ve Audius protokolünü şu adımlarla istismar edebildi:

Bir yönetişim oylamasını geçmek için kendisine 10.000.000.000.000 $AUDIO'luk falsolu bir yetkilendirme oluştur. (Dolaşımdaki arz etkisi olmayan / Staking & Delegation kontratlarının depolanmasıyla sınırlı)

Bir yönetişim oylamasını geçmek için kendisine 10.000.000.000.000 $AUDIO'luk ikinci bir falsolu yetkilendirme oluştur, bu da oylamadan geçer ve fonları aktarır. (Dolaşımdaki arz etkisi olmayan / Staking & Delegation kontratlarının depolanmasıyla sınırlı)

Topluluk hazinesinden 18.564.497 $AUDIO tokenını aktarma işlemi: https://etherscan.io/tx/0x4227bca8ed4b8915c7eec0e14ad3748a88c4371d4176e716e8007249b9980dc9

Saldırganın adresi: 0xa0c7BD318D69424603CBf91e9969870F21B8ab4c

Saldırgan daha sonra Uniswap v2 aracılığıyla tek bir işlemde tüm AUDIO'yu boşaltmak istedi ve, büyük bir slipaja neden oldu ve sadece 704 ETH (~1 milyon $) ile çıkış yaptı.

Fonlar yaklaşık 10 saat sonra Tornado Cash'e aktarıldı.

Saldırgan ganimeti boşalttığında oluşan aşırı fiyat hareketine rağmen, olaydan bu yana AUDIO fiyatı yine de iyi bir seviyede kaldı.

Ekibin hızlı tepki süresi (artı aldığı yardım) ve kullanıcıların cebinden ziyade hazineden gelen kayıp, muhtemelen etkiyi en aza indirdi.

Kontratlar, Kudelski ve OpenZeppelin tarafından iki kez denetlenmişti ve güvenlik açığı bir nevi aslında bilinen bir durumdu.

Öyle ya da böyle yaşananlar Audius’u DeFi‘da rekt tınıları ile dinlenilmekten kurtarmışa benzemiyor.

Umarız “çalma listesindeki” tek hit parçaları bu olur.

REKT, anonim yazarlar için halka açık bir platform olarak hizmet eder, REKT'te bulunan görüşler veya içerik için hiçbir sorumluluk kabul etmiyoruz.

bağış yap (ETH / ERC20): 0x3C5c2F4bCeC51a36494682f91Dbc6cA7c63B514C

sorumluluk reddi:

REKT, Web Sitemizde veya hizmetlerimizle bağlantılı olarak web sitemizin ANON yazarı veya REKT tarafından gönderilen, yayınlanan veya neden olunan hiçbir içerikten hiçbir şekilde sorumlu veya yükümlü değildir. Anon yazarın davranışları ve gönderileri için kurallar sağlamamıza rağmen, onun web sitemizde veya hizmetlerimizde yayınladığı, ilettiği veya paylaştığı şeylerden sorumlu değiliz veya web sitemizde ve hizmetlerimizde karşılaşabileceğiniz herhangi bir saldırgan, uygunsuz, müstehcen, yasa dışı veya başka şekilde sakıncalı olan içerikten sorumlu değiliz. REKT, Web Sitemizin veya Hizmetlerimizin herhangi bir kullanıcısının çevrimiçi veya çevrimdışı davranışlarından sorumlu değildir.