Inverse Finance bị tấn công flash loan, banteg yêu cầu Peckshield xoá tweet
Peckshield luôn là đơn vị cảnh báo sớm các dự án DeFi về lỗ hổng bảo mật. Cái tên mới nhất là Inverse Finance. Đây không phải là lần đầu tiên Inverse Finance bị gọi tên. Vào tháng 04/2022, Inverse cũng là nạn nhân của các hacker, với thiệt hại ước tính 15 triệu USD ở thời điểm nói trên.
Cộng đồng DeFi xôn xao khi banteg (lập trình viên nổi tiếng của Yearn) đã tweet yêu cầu Peckshield xóa dòng tweet này chỉ 9 phút sau khi đăng. Sau khi bị cộng đồng chất vấn vì tính “phi tập trung” trong phát ngôn, banteg giải thích rằng: samczsun (một hacker mũ trắng nổi tiếng trong cộng đồng) đã nhìn ra được những lỗ hổng lớn hơn. Từ đó, banteg cho biết cần xóa dòng tweet trên để xử lý, đồng thời để đảm bảo tài sản của người dùng được an toàn. Trong thời gian xử lý, cần hạn chế chia sẻ thông tin này để tránh lọt vào tầm ngắm của các hacker.
Peckshield thông báo đây là một vụ flashloan
Trong thông báo mới nhất, Inverse thừa nhận lỗ hổng có tồn tại và cho biết đã tạm dừng chức năng vay tiền để điều tra vấn đề.
Peckshield đã xoá dòng tweet kia và đăng tweet mới tường thuật lại vụ việc.
Looks like @InverseFinance has been exploited for c.$1.2m (53 BTC, $100k Tether).https://t.co/Idtx9IisAd pic.twitter.com/oln7Qsh8Rx
— DeFiyst (@DeFiyst) June 16, 2022
Tài khoản DeFiyst cho rằng Inverse đã bị tấn công flash loan, với tổng thiệt hại ~ 1,2 triệu USD (gồm 53 BTC và 100 nghìn USDT). Hacker sau đó đã chuyển tiền sang Tornado Cash để rửa.
2/ To illustrate, we use the above tx https://t.co/OaCemQfWug and show the key steps below: pic.twitter.com/lTzhSyo1By
— PeckShield Inc. (@peckshield) June 16, 2022
Các hoạt động của hacker bao gồm:
- Flash loan 27.000 WBTC thông qua AAVE
- Nạp 225 WBTC vào crv3crypto và mint ra 5,375 crv3crypto (LP token)
- Nạp 5.375 crv3crypto vào yvCurve-3Crypto và mint ra 4.906 yvCurve-3Crypto
- Nạp 4.906 yvCurve-3Crypto vào Inverse Finance để làm tài sản thế chấp
- Swap 26.775 WBTC sang 75.403.376 USDT để chi phối giá tài sản thế chấp
- Mượn 10.133.949 DOLA, (với số lượng nhiều hơn cho phép, vì giá tài sản thế chấp đã bị thay đổi)
- Swap ngược 75.403.376 USDT sang 26.626 WBTC
- Swap 10.133.949 DOLA sang 9.881.355 3Crv
- Trả lại 9.881.355 3Crv để nhận 10.099.976 USDT
- Swap 10.000.000 USDT thành 451 WBTC
- Hoàn trả lại khoản vay flash loan ban đầu
