Очередные выходные не проходят без атаки на проект из пространства децентрализованных финансов. На этот раз жертвой стал сервис доходного фермерства ForceDAO.
Проблема заключалась в некорректной проверке вызова определенных функций в смарт-контракте. В частности, любой желающий мог вызвать функцию осуществления депозита, даже не имея токенов FORCE. С помощью полученных при этом промежуточных токенов xFORCE из смарт-контракта можно было вывести реальные токены.
В общей сложности уязвимостью успели воспользоваться по крайней мере три хакера. Один из них, первым обнаруживший проблему, действовал из благих побуждений и спас 15,8 млн FORCE. Два других оказались злоумышленниками. Первый успел вывести 298 000 FORCE и обменять их на 42 ETH ($85 000), а второй – 4,1 млн FORCE. Учитывая падение курса и ликвидности к этому моменту, ему удалось выручить только 80 ETH ($163 000). В настоящее время в пуле FORCE на децентрализованной бирже Uniswap ликвидности нет, то есть сделки с токеном невозможны.
Как отмечает аналитик Игорь Игамбердиев, хакеры слишком торопились и воспользовались адресами, с которых в прошлом перечисляли криптовалюту на биржевые аккаунты. Это дает основания надеяться на их обнаружение и возврат активов.
Больше сомнений вызывают перспективы быстрого восстановления цены самого токена. FORCE начал торговаться позавчера вечером и перед эксплойтом достиг максимума на отметке $2,30, однако быстро обвалился до $0,17.
Разработчик Polymath Network Мудит Гупта также заявляет, что это известный баг смарт-контрактов Ethereum, и заключает, что контракты ForceDAO почти наверняка не проверялись экспертами по безопасности.
Будь в курсе! Подписывайся на Криптовалюта.Tech в Telegram.
Обсудить актуальные новости и события на Форуме
