یکی دیگر از پروتکل های DeFi در صبح جمعه قربانی یک سوء استفاده شد. Dough Finance، یک پروتکل منبع باز برای ایجاد بازارهای نقدینگی غیرقانونی، با حمله وام‌دهی فوری مواجه شد که نزدیک به ۲ میلیون دلار از وجوه کاربران را به سرقت برد. تیم پروژه اعلام کرد که در حال تلاش برای حل سریع وضعیت است.
پروتکل مالی Dough 1.96 میلیون دلار ضرر کرد
در 12 ژوئیه، گزارش های آنلاین در مورد فعالیت دوغ فاینانس منتشر شد. پلتفرم امنیتی بلاک چین Web3 Cyvers به ما اطلاع داد که تراکنش‌های مشکوک متعددی را که شامل پروتکل DeFi هستند شناسایی کرده است.
بر اساس این گزارش، هکر قرارداد هوشمند Dough Finance را دستکاری کرده و 1.8 میلیون دلار USDC را به سرقت برده است. مهاجم که از طریق پروتکل دانش صفر (ZK) Railgun تأمین مالی می شود، وجوه دزدیده شده را به اتریوم (ETH) مبادله می کند و در ابتدا 608 ETH دریافت می کند.
Olympix، یک فروشنده امنیت Web3، فاش کرد که این سوء استفاده به دلیل "calldata در قرارداد ConnectorDeleverageParaswap" رخ داده است. ظاهراً قرارداد به اندازه کافی داده های تماس وام فلش را بررسی نکرده است.
داده‌های تماس تأیید نشده به بهره‌بردار اجازه می‌دهد داده‌های قرارداد را دستکاری کرده و وجوه را به یک حساب متعلق به خارجی (EAO) ارسال کند. پس از گزارش های اولیه، سری دوم حملات رخ داد.
این حملات منجر به از دست دادن 141000 دلار اضافی در USDC شد که مجموع سرقت های ارزهای دیجیتال را به 1.96 میلیون دلار رساند. با این وجود، Cyvers تأیید کرد که استخرهای پروتکل وام دهی Aave بدون تغییر باقی مانده است.
کلاهبرداران پروژه های DeFi را هدف قرار می دهند
پس از گزارش‌های اولیه، پروتکل DeFi حمله را تایید کرد و از کاربران خواست تا وجوه باقی‌مانده را از پروتکل خارج کنند. متعاقبا، Dough Finance اعلام کرد که این اکسپلویت را شناسایی و بسته است.
این پروژه تأیید کرد که «برخی از حساب‌های هوشمند اولیه Dough DeFi (DSA)» قربانی یک سوءاستفاده پیچیده بودند. علاوه بر این، این پست اطمینان داد که تیم مالی دوغ به طور فعال برای رسیدگی به این حادثه، بازیابی وجوه و نجات سرمایه گذاران کار می کند.
گزارش‌های آنلاین نشان داد که این تیم با بهره‌بردار تماس گرفته است. در یک پیام زنجیره ای، پروتکل Defi به بهره بردار اطلاع داد که با مقامات مربوطه تماس گرفته است.
تیم همچنین پیشنهاد داد در صورتی که مهاجم «از این آسیب‌پذیری به‌عنوان کلاه سفید یا خاکستری استفاده کند» درباره جایزه بحث و آدرسی را که می‌توان مستقیماً وجوه به آن منتقل کرد را ضمیمه کرد.
بهره‌بردار تا دوشنبه، 15 جولای 2024، ساعت 11:00 شب UTC فرصت دارد تا با پروتکل DeFi تماس بگیرد. بر اساس این پیام، اگر تیم پاسخی دریافت نکند، «فرض می‌کند که شما وجوه را با نیت غیرقانونی تصاحب کرده‌اید و تمام راه‌های کیفری، قانونی و اداری موجود را برای بازپس‌گیری وجوه مسروقه پیگیری می‌کند».
کلاهبرداران به شدت این بخش را هدف قرار داده اند. این هفته چندین پروژه DeFi، از جمله Compound Finance، توسط یک حمله فیشینگ در معرض خطر قرار گرفتند. به نظر می رسد این پروژه ها قربانی یک حمله دامنه DNS شده اند که کاربران را به یک وب سایت جعلی هدایت می کند.
وب‌سایت کپی‌کت ابزار تخلیه‌ای بود که می‌توانست سرمایه‌های کاربران را در صورت تعامل با آن تخلیه کند. در نتیجه، تیم های پروژه به مشتریان توصیه کرده اند تا اطلاع ثانوی با وب سایت ها تعامل نداشته باشند.
