Další chyba ve smart kontraktu za milion dolarů. USA zavírají ukrajinské burzy

Včera jsme informovali o hackerských útocích, které proběhly v dubnu a hned druhý den nového měsíce přinesl další útok na DeFi protokol. Tentokrát byla napadena burza Level Finance a ukraden její nativní token LVL. Útočníci využili chybu ve smart kontraktu a podařilo se jim získat 214 000 nativní tokenů burzy. V době krádeže byla cena tokenu téměř 9 dolarů a hackeři jej směnili do Binance Coinu v hodnotě jednoho milionu dolarů. Vše

Level Finance přišla o své nativní tokeny

O útoku informovala sama burza Level Finance na svém Twitteru s 20 000 sledujícími. Tweet informoval uživatele o krádeži 214 000 LVL tokenů. Informace následně doplnila blockchainová bezpečnostní firma Peckshield a dodala, že útočníci ukradli přes smart kontrakt LevelReferralControllerV2. Chyba v tomto kontraktu umožnila opakované získání odměny za doporučení uživatele. Hackeři tedy stále dokola vybírali odměny za doporučené uživatele. Tuto chybu později potvrdila také burza na svém Discordu. Nativní token burzy běží na Binance chainu a bylo tedy možné zjistit řadu užitečných informací z Binance chain exploreru. BSC Scan ukázal, že chybný kontrakt vydával tokeny za falešně doporučené uživatele již 48 hodin před tweetem burzy. Hackeři tedy měli celé dva dny čas na vysávání prostředků z burzy.

An exploit targeted our Referral Controller Contract. - 214k LVL tokens drained to exploiters address. - Attacker swapped LVL to 3,345 BNB - Exploit was isolated from other contracts. - Fix to be deployed in 12 Hrs. - LP's and DAO treasury UNAFFECTED. More details to follow.

— LEVEL Finance #RealYield (@Level__Finance) May 1, 2023

O tom, že burza nebyla na útok vůbec připravená svědčí také fakt, že jim trvalo dalších 12 hodin, než chybný smart kontrakt opravili. Level Finance přitom uvedla na svém Twitteru, že bude nový smart kontrakt implementovat do 12 hodin. Přes všechny problémy se ale zdá, že uživatelé burzy se nenechali útokem vyděsit. Burza totiž rychle informovala všechny své uživatele, že likviditní fondy související s prostředky investorů nebyly napadeny. Jednalo se totiž pouze o smart kontrakt, který rozděloval odměny za doporučení nového uživatele. Level Finance tuto funkcionalitu dočasně pozastavila, čímž zamezila dalšímu zneužití chyby. Cena tokenu klesla jen mírně také díky tomu, že prostředky uživatelů nebyly útokem vůbec ovlivněny. Zatím není jasné, zda za útokem stála nějaká větší skupina. Vzhledem k povaze útoku lze ale soudit, že se spíše jednalo o jednotlivce nebo menší skupinu, protože nešlo o technicky náročný útok.

Spojené státy zavírají podezřelé ukrajinské burzy

Americká FBI uzavřela ve spolupráci s ukrajinskými úřady 9 kryptoměnových burz. Na základě podezření z praní špinavých peněz zabavily tamní úřady 9 domén, na kterých běžely podezřelé burzy. FBI tvrdí, že tyto burzy umožňovaly hackerům obejít opatření proti praní špinavých peněz a podporovaly tímto způsobem zločince. Některé domény byly zabaveny přímo Spojenými státy, některé zabavily ukrajinské orgány činné v trestním řízení. O celé věci FBI informovala ve své tiskové zprávě z 1. května. Podle zprávy provedla Národní policie Ukrajiny společně s FBI zabavení všech domén na základě soudního příkazu. Mezi zabavenými doménami burz byly například tyto: 24xbtc.com, 1000btc.pro, pridechange.com, trust-exchange.org nebo bitcoin24.exchange. Na všech těchto adresách je dnes pouze oznámení o porušení zákonů burzou a jejím uzavření.

V tiskové zprávě se dále uvádí, že tyto burzy nabízející služby v angličtině a ruštině měly nedostatečné opatření proti praní špinavých peněz a o svých zákaznících neměly téměř žádné informace. Podle FBI slouží tyto decentralizované burzy jako důležité body ve světě kyberzločinu. Bez nich totiž hackeři nebudou schopni směnit ukradené kryptoměny za peníze bez toho, aby na sebe upozornili. Některé z uvedených burz navíc aktivně inzerovaly na fórech a stránkách s kyber zločineckou tématikou. V poslední době se podařilo takto zabránit útoku již několikrát. Naposledy se podařilo získat zpět téměř 90 etherů a dvě hodnotné NFT, díky blockchainovému detektivovi s přezdívkou ZachXBT, který úspěšně vyhledává podivné transakce na nejrůznějších blockchainech.