by cryptoblog Sumber : Rekt News
Sentuhan Midas telah menjadi bumerang, meninggalkan lubang $ 660K di salah satu kumpulan aset jFIAT Jarvis Network.
Pada hari Minggu, protokol peminjaman berbasis Polygon Midas Capital dieksploitasi melalui serangan flash loan pada jenis agunan yang baru ditambahkan.
Kedua organisasi tersebut mengumumkan penyebab serangan tersebut sebagai penggunaan token WMATIC-stMATIC Curve LP. Kerentanan reentrancy read-only adalah kelemahan yang diketahui dari jenis token LP ini, dan sebelumnya menyebabkan kerugian $220rb di market.xyz pada bulan Oktober.
Tak selalu yang berkilau itu indah…
Kredit: BlockSec, Beosin
Midas baru-baru ini menambahkan token Curve LP WMATIC-stMATIC untuk digunakan sebagai jaminan. Token ini memiliki kerentanan reentrancy read-only yang memungkinkan harga virtual token dimanipulasi ketika diimplementasikan dengan tidak tepat.
Menurut analisis BlockSec, serangan itu memiliki 5 langkah dasar:
perhitungan agunan posisi tergantung pada diri sendiri.D dan totalSupply
self.D diperbarui setelah callback yang tidak dikecualikan, jadi keempatnya meminjam di langkah 5 untuk menggunakan self.D yang sudah usang.
kontrak membakar stMATIC-f sebelum callback yang tidak dikecualikan, yang menyebabkan empat pinjaman di langkah 5 menggunakan stMATIC-f.totalSupply() yang diperbarui.
Akibatnya, @MidasCapitalxyz melebih-lebihkan posisi kontrak penyerangan dan meminjamkan aset berlebihan ke kontrak.
Alamat penyerang: 0x1863b74778cf5e1c9c482a1cdc2351362bd08611
Serang tx: 0x00534902…
Kontrak pintar yang diserang: 0x5bca7ddf1bcccb2ee8e46c56bfc9d3cdc77262bc
Penyerang dapat meminjam aset berikut dengan agunan yang digelembungkan:
jCHF: 273.973
jEUR: 368.058
jGBP: 45.250
aEUR: 45.435
Yang kemudian ditukarkan ke ~660rb MATIC ($660rb) dan dikirim ke Kucoin dan Binance.
Melaporkan kerugian di DeFi selalu memalukan, tetapi terutama jika kerugian tersebut disebabkan oleh masalah yang sudah diketahui, dengan solusi sederhana.
Jarvis Network akan menutupi (~$350rb) kekurangan dukungan jFIAT yang dihasilkan dari eksploitasi, dan Midas Capital telah menghubungi peretas dalam upaya untuk menegosiasikan hadiah.
Dalam sebuah pernyataan kepada rekt.news, pendiri Jarvis Network Pascal Tallarida menjelaskan bagaimana rencana mereka untuk menangani insiden tersebut ke depan:
Sebagai hasil dari eksploitasi Midas, protokol kehilangan 257k jEUR, 237k jCHF dan 45k jGBP, dan pengguna kehilangan 111k jEUR dan 36k jCHF. JFIAT milik protokol tidak dijamin.
Kami telah memutuskan untuk tidak menunggu setelah Midas, dan kami sedang mengerjakan rencana untuk menjamin kembali jFIAT yang hilang dari protokol, dan mengganti uang pengguna yang menjadi korban eksploitasi. Kami akan mengusulkan kepada tata kelola Jarvis untuk mengalokasikan sebagian dari pendapatan protokol (penyediaan likuiditas, bunga pinjaman, biaya protokol dan pertanian dengan POL) dan sebagian dari perbendaharaan protokol untuk itu, dan kami akan meminta bantuan dan dukungan dari komunitas kami, mitra, investor, dan “frens”. Saya telah berdiskusi dengan banyak dari mereka dan mereka telah menyatakan keinginan mereka untuk mendukung kami di saat yang sulit ini, baik dengan atau tanpa rekanan. Selain itu, perusahaan yang merupakan penyedia likuiditas utama dalam protokol, akan membantu, baik dengan perbendaharaan maupun pendapatannya (±$700k tahun lalu dengan biaya swap, bunga, dan pembuatan pasar).
Kemudian, Midas berjanji kepada kami bahwa mereka akan melakukan yang benar oleh kami, dengan mengganti apa yang mereka bisa, dan dengan membantu kami memberikan nilai pada protokol. Butuh beberapa saat bagi mereka untuk melakukannya, tetapi saya percaya mereka akan melakukannya.
Ini bukan pertama kalinya kami melihat jenis agunan yang dimasukkan dengan tergesa-gesa yang menyebabkan kerugian, dan sepertinya bukan yang terakhir.
Mari berharap keputusan yang terburu-buru ini tidak terbukti menjadi kehancuran Midas kali ini…
“Indranya ditangkap oleh umpan, dan, tergetar tak terkira, dia memanjakan matanya yang serakah saat melihatnya. Jadi Midas, raja Lydia, mula-mula membengkak dengan bangga ketika dia menemukan dia bisa mengubah semua yang dia sentuh menjadi emas: tetapi ketika dia melihat makanannya menjadi kaku dan minumannya mengeras menjadi es keemasan kemudian dia mengerti bahwa hadiah ini adalah kutukan dan kebenciannya pada emas mengutuk doanya.”
