Хакер вернул $5,4 млн взломанному протоколу Curve Finance

Хакер под ником c0ffeebabe.eth вернул 2879 ETH (на сумму около $5,4 млн) протоколу децентрализованных финансов (DeFi) Curve Finance. Деньги были перенаправлены из пула ликвидности CRV-ETH во время эксплойта.

Используя бота MEV, хакер смог опередить взломщика, защитив 2879 ETH. Эту сумму он позднее вернул на адрес Curve, свидетельствуют ончейн-данные.

Однако возвращенная сумма составляет лишь незначительную часть от всех украденных денег. Всего уязвимость Curve Finance позволила мошенникам получить доступ к активам на сумму свыше $47 млн. Помимо этого, проблемы Vyper позволили злоумышленникам провести аналогичную атаку на блокчейн криптобиржи Binance — BNB Smart Chain (BSC) и вывести из него активы примерно на $73 000.

Curve Finance столкнулся с крупным взломом, который прошел в два этапа. Первоначально хакеры украли около $26 млн из-за уязвимости повторного входа в пулах. Затем последовал второй этап атаки, в ходе которого 7,1 млн CRV ($4,4 млн) и 7680 Wrapped Ether ($14,37 млн) были выведены из пула CRV-ETH Curve Finance.

Инцидент с Curve произошел из-за уязвимости в устаревшей версии языка программирования Vyper. Она допускала проблемы с повторным входом в смарт-код Curve. Эта ошибка позволила злоумышленникам вывести средства из нескольких проектов. В результате общая заблокированная стоимость Curve Finance (TVL) резко снизилась после атаки: с $3,26 млрд до $1,72 млрд, что составляет падение почти на 46% за 24 часа.

За первую половину 2023 года злоумышленники украли $655,61 млн с помощью взломов, фишинговых афер и раг-пуллов. Мошенники совершили 108 атак на протоколы, 110 раг-пуллов и ряд фишинговых афер и присвоили $471,43 млн, $75,87 млн и $108 млн соответственно.

Кроме того, хакеры отмыли около $244,5 млн в криптовалюте за первую половину года. Больше всего они получили в рамках взлома кросс-чейн моста Harmony Bridge (около $100 млн).