Арбитражная компания Rodeo Finance потеряла 888 тыс. долл. в результате недавней атаки.
Был применен хак «ForceInvestment», позволивший злоумышленнику похитить 472 Ethereum (888 тыс. долл.). Позже он отправил 150 ETH в миксер Tornado Cash, в результате чего в кошельке остался 371 ETH.
Эксплуататор первоначально пополнил кошелек Tornado Cash на 50 ETH для осуществления взлома.
Arbitrum — популярное решение для масштабирования второго уровня сети Ethereum, использующее технологию оптимистичного сворачивания.
Компания PeckShield, специализирующаяся на безопасности блокчейна, впервые обратила внимание на атаку в Twitter, опубликовав ссылку на транзакцию с комментарием: «Hi, @Rodeo_Finance you may want to take a look. «
Привет, @Rodeo_Finance возможно, вы захотите взглянуть: https://t.co/ExSpR3qzqj
— PeckShield Inc. (@peckshield) July 11, 2023
Атакующий использовал функцию «Investor.earn()» для принудительного свопа из пула процентных USDC компании Rodeo. Сначала злоумышленник взял из пула 290 Wrapped Ethereum (WETH), соединив активы с сетью Ethereum, а затем, используя манипуляции с оракулом, взвинтил цену на свой ETH, обменяв его на unshETH.
unshETH — это проект DeFi, направленный на развитие децентрализации валидаторов путем создания рынка ликвидности ETH, на котором валидаторы конкурируют между собой, предлагая наилучшую доходность.
При выполнении вышеуказанного свопа контроль проскальзывания — разницы между приказом на сделку и ее исполнением — становится недействительным. Это означало, что конвертация WETH в unshETH не отражала справедливой рыночной стоимости.
Затем злоумышленник снова подключился к сети Ethereum, чтобы украсть еще 230 WETH из хранилища Rodeo.
После этого злоумышленник снова подключился к сети Ethereum, отправив 150 ETH в Tornado Cash и оставив в кошельке 371 ETH.
Всего из хранилища Rodeo было похищено 520 WETH, но в качестве потерь засчитано только 472 WETH. Это объясняется тем, что злоумышленник пополнил кошелек на 50 ETH для выполнения эксплойта.
Первоначально компания PeckShield сообщила об убытках в размере 1,5 млн. долларов, но позже исправила их на 888 тыс. долларов из-за двойного расчета.
