Протокол DeFi WDZD Swap потерял $1,1 млн в ходе эксплоита

Согласно отчету компании CertiK от 21 мая, протокол децентрализованного финансирования (DeFi) WDZD Swap был атакован 19 мая для обмена Binance-Pegged Ether на сумму 1,1 миллиона долларов.

Binance-Pegged Ether представляет собой эфир (ETH), который был обернут для использования на Binance Smart Chain или BNB Chain (BSC).

Согласно отчету, злоумышленник провел девять злонамеренных транзакций, в результате которых было выведено 609 Binance-Pegged ETH на сумму 1,1 миллиона долларов на момент атаки из контракта, связанного с проектом WDZD.

WDZD позиционирует себя, как проект DeFi, работающий на BSC. Его продвигает аккаунт в Твиттере @DZDDAO, у которого более 86 000 подписчиков. Канал Telegram, связанный с этой учетной записью, также насчитывает 28 000 участников. Скомпрометированный протокол трудно проверить на предмет того, как он должен работать, но CertiK заявил, что он «не на 100% соответствует всей механике проекта». Однако пользовательский интерфейс приложения подразумевает, что его можно использовать для фарма токена под названием «WDZD» в обмен на стейкинг ETH.

Интерфейс WDZD Swap.

24 мая представитель CertiK сообщил, что WDZD, возможно, также был продан пользователям за Binance-Pegged ETH в рамках первоначального предложения DEX (IDO). CertiK поделилась изображением, которое выглядит как реклама WDZD для IDO.

Реклама WDZD. Источник: CertiK.

Адрес BSC в нижней части объявления: 0xb75ac203c6fcba8d06659cd9c25a343598c6b627. Данные блокчейна показывают, что на этот аккаунт были совершены сотни переводов ETH. Учетная запись также перевела 460 ETH на другой адрес, где они затем использовались в вызове функции «Добавить ликвидность». Этот вызов часто используется для внесения актива в пул ликвидности в обмен на токены LP.

Данные блокчейна показывают, что депонированные 460 ETH оказались в контракте «Swap LP» по адресу BSC 0xe0c352c56af65772ac7c9ab45b858cb43d22f28f.

19 мая известный мошенник с меткой «Fake_Phishing750» создал контракт, который впоследствии истощил токены из протокола WDZD. Fake_Phishing750 был ответственен за атаку на другой протокол под названием «Swap X», заявил CertiK.

После того, как вредоносный контракт был создан, злоумышленник использовал его для выполнения девяти транзакций, которые лишили 1,1 миллиона долларов ETH из контракта Swap LP, где ETH был депонирован.

Контракт Swap LP не проверен BSCScan, а это означает, что человекочитаемый код для него недоступен, что затрудняет точное определение того, как злоумышленник слил средства. Однако CertiK заявила, что злоумышленник мог передать токены WDZD на производственный адрес протокола через непроверенный вызов функции. Затем этот WDZD был заменен на токены LP, которые, в свою очередь, были обменены на базовый ETH.

«Злоумышленник манипулировал низкоуровневым вызовом на заводском адресе Swap-LP, который активировал функцию 0x33604058 пары SwapLP», — говорится в отчете. «Это привело к переводу всех токенов WDZD в паре на заводской адрес. Следовательно, злоумышленник смог получить большее количество LP SWAP с непроверенного адреса 0x3c4e06d17e243e2cb2e4568249b6f7213c43c743, используя меньшее количество WDZD и впоследствии сжигая LP для получения прибыли».

В 2023 году криптосообщество преследовали взломы, мошенничество и махинации. 24 апреля Ordinals Finance якобы провела махинации, выведя активы на сумму более 1 миллиона долларов из контрактов протокола. 2 мая еще один миллион долларов был потерян, когда злоумышленник воспользовался ошибкой в контракте с Level Finance.

CertiK сообщила в мае, что убытки от эксплойтов снизились в первом квартале, но компания также заявила, что это, вероятно, «временная передышка».