Dexible 해킹으로 2만 달러 상당의 암호화폐 손실

17월 2일 팀이 프로젝트의 공식 Discord 채널에 게시한 사후 보고서에 따르면 멀티체인 거래소 애그리게이터 Dexible이 익스플로잇에 의해 손상되었으며 직접적인 결과로 XNUMX만 달러 상당의 비트코인이 도난당했습니다.

17월 6일 오후 35시 XNUMX분(UTC)부터 Dexible의 프런트 엔드는 사용자가 방문할 때마다 해킹에 대한 팝업 경고를 표시합니다.

팀은 UTC 오전 6시 17분에 "Dexible v2 계약에 대한 해킹 가능성"을 발견했으며 당시 문제를 조사 중이라고 말했습니다. 약 2,047,635.17시간 후 두 번째 성명이 발표되었는데 회사는 이제 "17개의 거래 주소에서 $4이 악용되었다"는 것을 알고 있다고 말했습니다. 메인넷에서 13위, 아비트럼에서 XNUMX위.”

사후 보고서는 UTC 오후 4시에 PDF 파일로 제공되었으며 Discord에서 사용할 수 있습니다. 팀은 또한 "현재 수리 계획을 작업 중"이라고 말했습니다.

이 조직은 보고서에서 설립자 중 한 명이 당시 불분명한 이유로 지갑에서 50,000만 달러 상당의 암호화폐 자산을 이체했을 때 무언가 잘못되었음을 알게 되었다고 밝혔습니다. 이 이동의 이유는 당시 알려지지 않았습니다. 조사 후 팀은 적이 앱의 selfSwap 기능을 사용하여 이전에 프로그램에 토큰을 전송할 수 있는 권한을 부여한 사용자로부터 거의 2만 달러 상당의 암호화폐를 훔쳤다는 결론에 도달했습니다.

사용자는 selfSwap 기능을 사용하여 하나의 토큰을 다른 토큰으로 교환할 수 있었는데, 이를 위해서는 라우터의 주소와 연결된 콜 데이터를 제공해야 했습니다. 그러나 코드에는 이미 검토되고 승인된 라우터 목록이 포함되지 않았습니다. 사용자의 토큰을 지갑에서 공격자의 스마트 계약으로 옮기기 위해 공격자는 이 방법을 사용하여 Dexible에서 각 토큰 계약으로 트랜잭션을 라우팅했습니다. 토큰 계약은 사용자가 이미 토큰 사용 권한을 부여한 Dexible에서 시작되었기 때문에 이러한 잠재적으로 위험한 거래를 중단하지 않았습니다.

공격자는 자신의 스마트 계약으로 토큰을 받은 후 Tornado Cash를 사용하여 코인을 인출하여 자신도 모르게 BNB(BNB) 지갑에 넣었습니다.

Dexible의 계약 실행이 중단되었으며 회사는 사용자가 해당 계약에 대한 토큰 승인을 철회하도록 요청했습니다.

많은 양의 토큰 승인을 승인하는 일반적인 관행은 때때로 버그가 있거나 노골적인 악의적인 계약으로 인해 암호화폐 사용자에게 손실을 초래할 수 있습니다. 따라서 일부 업계 전문가는 사용자에게 잠재적인 금전적 피해로부터 자신을 보호하기 위해 정기적으로 승인을 취소하라고 조언합니다. 대부분의 Web3 애플리케이션의 프런트 엔드는 사용자가 부여된 토큰 수를 명시적으로 변경할 수 있도록 허용하지 않기 때문에 사용자는 앱에 보안 문제가 있는 것으로 밝혀지면 토큰 잔액 전체를 잃는 경우가 많습니다. 하지만 메타 마스크 및 기타 지갑은 사용자가 지갑 확인 프로세스 중에 토큰 승인을 변경할 수 있도록 하여 이 문제를 해결하려고 시도했지만 대부분의 암호화폐 사용자는 여전히 이 기능을 사용하지 않을 경우 발생할 수 있는 잠재적인 결과에 대해 알지 못합니다.