Ethereum-wekker gericht op Hacktober

De Ethereum Alarm Clock-service is het slachtoffer geworden van de nieuwste Hacktober-exploit, resulterend in verliezen ter waarde van $ 260,000. 

PeckShield meldt wekkeraanval

Ongeveer $ 260,000 aan ETH werd overgeheveld toen hackers misbruik maakten van een bug in de slimme contractcode voor de Ethereum Alarm Clock-service. Het nieuws werd voor het eerst onder de aandacht gebracht door PeckShield, een bedrijf voor blockchainbeveiliging en data-analyse, dat onthulde dat hackers erin waren geslaagd een maas in de planningscode te manipuleren, waardoor ze konden profiteren van geretourneerde gasvergoedingen op geannuleerde transacties. Momenteel kan het protocol worden gebruikt voor het plannen van toekomstige transacties door het invoeren van een ontvangeradres, het bedrag dat moet worden overgemaakt en het tijdstip van de transactie. Gebruikers moeten de benodigde hoeveelheid Ether houden om vooraf gaskosten voor de transactie te betalen. In het geval van geannuleerde transacties worden de ingehouden gaskosten teruggestort op de oorspronkelijke portemonnee.

Exploitmechanisme uitgelegd

Het exploitmechanisme kan worden samengevat als aanvallers die annuleringsfuncties op hun Ethereum Alarm Clock-contracten oproepen met te hoge transactiekosten. Een bug in het slimme contract heeft de daders een hogere waarde aan gaskosten terugbetaald dan wat ze aanvankelijk betaalden. PeckShield meldde dat 51% van deze opgeblazen terugbetaling werd uitbetaald aan mijnwerkers, waardoor hun Miner Extractable Value (MEV) toenam. 

Het bedrijf twitterde 

“We hebben een actieve exploit bevestigd die gebruik maakt van een enorme gasprijs om het TransactionRequestCore-contract te spelen voor een beloning ten koste van de oorspronkelijke eigenaar. In feite betaalt de exploit de 51% van de winst aan de miner, vandaar deze enorme MEV-Boost-beloning.”

Volgens een ander beveiligingsbedrijf, Supremacy Inc., heeft de exploit geleid tot een verlies van ongeveer 204 ETH. 

Hacktober gaat door

2022 heeft al een recordaantal DeFi-hacks gezien. De Alarm Clock-aanval is de laatste in een lange reeks protocolhacks die misbruik hebben gemaakt van bugs in slimme contractcodes, vooral in de maand oktober, die ook wel Hacktober wordt genoemd. Meest recent, Moola Markt werd gehackt voor $ 9 miljoen door de prijs van het oorspronkelijke MOO-token van het uitleenprotocol te manipuleren door $ 45,000 van het token te kopen en het als onderpand te storten om CELO-tokens te lenen. Gelukkig heeft de hacker het grootste deel van het geld teruggegeven met behoud van $ 500,000 als bugbounty. Andere protocollen die in oktober werden gebruikt, zijn onder meer de BitKeep-portemonnee en DeFi-protocol Sovryn, die beide ongeveer een miljoen dollar verloren. Het meest opvallende is echter de Mango-markten hack, wat ertoe leidde dat in de tweede week van Hacktober fondsen ter waarde van $ 117 werden weggeheveld van het uitleenplatform. 

Disclaimer: dit artikel is alleen bedoeld voor informatieve doeleinden. Het wordt niet aangeboden en is niet bedoeld om te worden gebruikt als juridisch, fiscaal, investerings-, financieel of ander advies.