Hacker ontvoert $ 1.4 miljoen aan ETH van NFT-geldschieter Omni

Omni, een niet-fungible token (NFT) geldmarktplatform, verloor zondag ongeveer 1,300 ETH ($ 1.43 miljoen) in een flitslening-reentrancy-aanval, volgens naar PeckShield.

Met Omni kunnen gebruikers hun NFT's inzetten, meestal uit populaire collecties zoals Bored Ape Yacht Club, om tokens zoals ether (ETH) te ontvangen. 

Bij de aanval van vandaag maakte de hacker misbruik van een re-entry-kwetsbaarheid in het Omni-protocol. Reentrancy is een bekende kwetsbaarheid in projecten die zijn gecodeerd met Solidity, waardoor een malafide actor zijn slimme contract kan forceren om een ​​externe oproep te doen naar een niet-vertrouwd contract. Deze externe aanroep wordt uitgevoerd vóór de oorspronkelijke functie en kan dus worden gebruikt om herhaaldelijk het protocol opnieuw in te voeren om de liquiditeit ervan af te tappen.

Yajin Zhou, CEO van blockchain-beveiligingsbedrijf BlockSec, legde het proces van de exploit uit aan The Block en zei dat de aanvaller NFT's had gedeponeerd uit een verzameling genaamd Doodles. Deze NFT's werden gebruikt als onderpand om ingepakte ETH (WETH) te lenen.

De aanvaller maakte vervolgens misbruik van de kwetsbaarheid voor herintreding door op één na alle NFT's die als onderpand waren gedeponeerd, in te trekken. Deze actie veroorzaakt een kwaadaardige callback-functie in het voordeel van de aanvaller. Met deze functie kon de hacker het geleende geld gebruiken om nog meer Doodles te kopen voordat de leenpositie werd geliquideerd.

Zodra de positie is geliquideerd, wordt de resterende Doodle NFT van het oorspronkelijke onderpand teruggegeven aan de aanvaller. De leningspositie wordt geliquideerd omdat de waarde van de NFT die aanvankelijk als onderpand was achtergelaten voordat de callback-functie werd ingeroepen, niet voldoende was om de schuldpositie te dekken. Dit is waar de terugkeer binnenkomt, omdat de aanvaller in staat is om de geleende WETH te gebruiken om meer NFT's te kopen voordat de liquidatie plaatsvindt.

De aanvaller gebruikte vervolgens de Doodles die hij met de eerste lening had verkregen als onderpand om meer WETH te lenen. Omni herkende deze nieuwe schuldpositie echter niet, dus de hacker kon de NFT's intrekken zonder de lening terug te betalen.

De aanval kostte meer dan 1,300 WETH ($ 1.4 miljoen) uit het protocol. Omni zei dat de exploit geen invloed had op het geld van klanten, aangezien alleen interne testfondsen werden getroffen, aangezien het platform zich nog in de bètatestmodus bevindt.

Het NFT-geldmarktplatform zei dat het het protocol heeft onderbroken in afwachting van een volledig onderzoek. Uit gegevens van Etherscan blijkt dat de uitbuiter het geld al heeft witgewassen via Tornado Cash, een muntmengservice voor privétransacties op Ethereum.

© 2022 The Block Crypto, Inc. Alle rechten voorbehouden. Dit artikel is uitsluitend bedoeld voor informatieve doeleinden. Het wordt niet aangeboden of bedoeld om te worden gebruikt als juridisch, fiscaal, investerings-, financieel of ander advies.