黑客用dForce窃取了2500万美元，与协议的创建者取得联系并退还了部分资金

黑客从dForce生态系统中撤出了2500万美元，据称这为执法人员提供了走上第一步的机会。他还试图与她的领导联系。据Cointelegraph报道。

在攻击过程中，攻击者利用了ERC-777标准令牌漏洞，该漏洞是ConsenSys研究人员于2018年在Uniswap分散式交易所智能合约系统的安全审核中发现的。 ERC-777标准被认为是ERC-20的更高级版本。但是，在分散式金融（DeFi）系统中使用技术时，技术更容易受到攻击。

对于Lendf.Me，黑客不仅利用了imBTC令牌的弱点，还利用了Lendf.me智能合约中的关键漏洞，后者负责更新用户余额。

正如化名Frank Topbottom的分析师所解释的那样，攻击者反复重复了相同的简单重入攻击。

1）使用imBTC进行的第二次攻击更有趣。最初，攻击者在https://t.co/pJgDLnFcmq上耗尽了其他用户的imBTC。此外，他反复迭代以提高借入其他资产的能力。
每次迭代（tx）中的攻击者均执行以下操作：

-Frank Topbottom（@FrankResearcher）2020年4月19日

先前清空了其他平台用户的帐户后，他将imBTC令牌转移到自己的帐户中，重复了相同的交易，但重复了0.00000001 imBTC。这样一来，他就可以提取之前存入的令牌，同时将帐户状态保持为以前的形式。

黑客从Lendf.me撤回了所有令牌（291 imBTC或200万美元）。他继续进攻，直到同样的命运落在dForce协议中。他使用假余额作为抵押，获得了近2500万美元的各种加密货币和稳定币。

弗兰克·托普托姆（Frank Topbottom）写下了哪些硬币以及黑客带来了多少钱。他指出，攻击者将部分资金发送给了竞争对手DeFi协议Compound。

4）
被盗资金的一部分流向了@compoundfinance和@AaveAave，另一部分被卖给了MKR，BAT，KNC，LINK。
某种过度投入的DeFi风扇??????

-Frank Topbottom（@FrankResearcher）2020年4月19日

早些时候，在单独且最可能无关的情节中，未知的黑客使用ERC-777令牌上的相同攻击向量攻击并清空了分散的Uniswap交易所中imBTC的流动资金池。在与Lendf.me一起描述该事件时，Frank Topbottom谈到了“第二次攻击”。

意外的结局

在dForce遭到攻击后不久，黑客向去中心化交易所1inch.exchange和ParaSwap以及Lendf.Me管理员帐户发送了三笔交易，以25万美元的PAX令牌进行。他为后者提供了“更好的未来”字样。

这些行动可以作为提供和平的手段，因为拉丁语中的PAX表示“和平”。

在Lendf.me回复并提供了用于通讯的电子邮件地址后，黑客以260万美元的价格归还了被盗的稳定币Huobi BTC和Huobi USD，他很难在不透露身份的情况下进行兑换。

针对这种手势，黑客从Lendf.me管理员收到一条消息，内容为“与我们联系。为了您更好的未来。”

1inch.exchange的代表表示，攻击者可能不经使用分布式IPFS文件系统而直接联系服务，而无意间泄露了其身份数据。

“他可能是一位出色的编码员，但他的黑客并不十分出色，”-该出版物的对话者评估了攻击者的行动。

所有三个交换请求都来自相同的中文IP地址。交易所的代表建议这是一个VPN或代理服务器，其所有者可以收到传票。黑客使用了一台Mac，显示了屏幕分辨率和英语。

1inch.exchange的代表确信，黑客将以宽大处理的方式归还这笔钱。

回想一下，2月，攻击者攻击了bzx DeFi平台并从中撤出了1,193 ETH（当时为350,000美元）。随后的第二次bzx攻击造成的损失已经达到$ 645,000。

我们的特殊材料中详细描述了这种攻击。

在Facebook上关注ForkLog！

—-

原文链接：https://forklog.com/pohitivshij-s-dforce-25-mln-haker-vyshel-na-svyaz-s-sozdatelyami-protokola-i-vernul-chast-sredstv/

原文作者：Андрей А

编译者/作者：wanbizu AI

玩币族申明：玩币族作为开放的资讯翻译/分享平台，所提供的所有资讯仅代表作者个人观点，与玩币族平台立场无关，且不构成任何投资理财建议。文章版权归原作者所有。