Level Finance xác nhận bị hack 1 triệu USD do hợp đồng thông minh có lỗi
Kẻ tấn công đã thao túng lỗi “xác nhận nhiều yêu cầu” trong hợp đồng thông minh Level Finance để đánh cắp hơn 214.000 mã thông báo LVL từ sàn giao dịch.
Sàn giao dịch phi tập trung Level Finance đã gặp phải sự cố vi phạm an ninh cho phép kẻ tấn công đánh cắp hơn 1 triệu USD mã thông báo Level Finance (LVL) gốc của sàn giao dịch.
Level Finance đã thông báo cho 20.000 người theo dõi trên Twitter của mình rằng hơn 214.000 mã thông báo LVL của sàn giao dịch đã bị rút cạn và hoán đổi thành 3.345 Binance Coin, với giá trị xấp xỉ 1,01 triệu USD.
An exploit targeted our Referral Controller Contract.
– 214k LVL tokens drained to exploiters address.
– Attacker swapped LVL to 3,345 BNB
– Exploit was isolated from other contracts.
– Fix to be deployed in 12 Hrs.
– LP's and DAO treasury UNAFFECTED.More details to follow.
— LEVEL Finance #RealYield (@Level__Finance) May 1, 2023
Theo công ty bảo mật blockchain Peckshield, hợp đồng thông minh “LevelReferralControllerV2” của Level Finance có một lỗi cho phép “yêu cầu giới thiệu lặp lại” từ cùng một kỷ nguyên. Điều này đã được xác nhận bởi Level Finance trong một tuyên bố sau đó trên Discord.
It seems the @Level__Finance's LevelReferralControllerV2 contract has a bug that allows for repeated referral claims from the same epoch. So far 214k LVLs have been drained and swapped into 3,345 BNB (~1M)
Here is an example hack tx: https://t.co/isqHhzFk1Z https://t.co/ikOWx2ezf6 pic.twitter.com/wlr5bFFf0R
— PeckShield Inc. (@peckshield) May 1, 2023
Trong khi đó, theo dữ liệu từ Binance chain explorer BSC Scan, hợp đồng bộ điều khiển v2 hiển thị nhiều lệnh gọi của chức năng “xác nhận nhiều lần” trong 48 giờ qua.
Tại thời điểm viết bài, việc thực hiện hợp đồng dường như không bị thay đổi kể từ khi xảy ra cuộc tấn công; tuy nhiên, Level Finance cho biết họ sẽ triển khai triển khai hợp đồng giới thiệu mới trong vòng 12 giờ tới.
Sàn giao dịch cũng lưu ý rằng các nhóm thanh khoản và các DAO liên quan của nó vẫn không bị ảnh hưởng bởi cuộc tấn công.
Theo DeDotFiSecurity trên Twitter, nhóm nói rằng họ đã “tạm thời đóng chương trình giới thiệu”, điều này đã dừng việc bị hack.
Trên Discord, Level Finance cho biết việc bị hack đã được cách ly với các hoạt động bị hack khác và người dùng của sàn giao dịch nên “chuẩn bị cho một cuộc khám nghiệm tử thi đầy đủ”.
