CoW Swap ถูกสูบเงินออกไปกว่า 550 BNB

โปรโตคอล CoW Swap ประสบปัญหาจากช่องโหว่ในสัญญาอัจฉริยะ ซึ่งนำไปสู่การสูญเสียประมาณ 551 BNB นับเป็นมูลค่าราว 181,600 ดอลลาร์สหรัฐ หลังจากนั้นผู้โจมตีได้ย้ายเงินบางส่วนที่ถูกขโมยไปยัง Tornado Cash

ตามรายงาน ผู้โจมตีได้เพิ่มกระเป๋าเงินเป็น “กระเป๋า Solver” ของโปรโตอลและเรียกใช้ธุรกรรมเพื่ออนุมัติการโอน DAI ไปยัง SwapGuard ก่อนที่จะย้ายทรัพย์สินไปยังที่อยู่อื่น

ช่องโหว่ใน Smart Contract ของ CoW Swap

หน่วยงานตรวจสอบบล็อคเชน MevRefund สังเกตเห็นการโจมตีครั้งแรกในช่วงเช้าตรู่เมื่อวันอังคาร และทวีตว่าเงินของ แพลตฟอร์มกำลังถูกสูบออก โดยเสริมว่าฟีเจอร์ SwapGuard ของโปรโตคอลคือช่องโหว่ เพราะอนุญาตให้ทุกคน “เรียกฟังก์ชันตามอำเภอใจ”

@CoWSwap your funds appear to be moooving away …https://t.co/li1NkXNeUp

— MevRefund (@MevRefund) February 7, 2023

ภายในหนึ่งชั่วโมง บริษัทรักษาความปลอดภัยบล็อกเชน PeckShield เปิดเผยว่าสัญญา GPv2Settlement ของ โปรโตคอล ถูกหลอกด้วยการใส่กระเป๋าของผู้โจมตีไว้ในแพลตฟอร์มเมื่อสิบวันก่อน และทำการอนุมัติ SwapGuard สำหรับการใช้จ่าย DAI ผู้โจมตีจึงเรียกใช้ SwapGuard เพื่อโอน DAI ออกจากสัญญา GPv2Settlement

ในคำอธิบายเพิ่มเติม แพลตฟอร์มความปลอดภัยบล็อคเชน BlockSec เปิดเผยว่าผู้โจมตีได้เพิ่มที่อยู่กระเป๋าเงินเป็น Solver ของโปรโตคอลผ่าน multi-sig ทำให้สามารถอนุมัติธุรกรรม และโอน DAI ที่ได้รับการอนุมัติจากสัญญาไปยังกระเป๋าตนเอง

“บทเรียนที่ได้เรียนรู้ คือ สัญญากับอินเทอร์เฟซไม่ควรอนุญาตให้มีการเรียกใช้ได้อย่างพร่ำเพื่อ ซึ่งกระเป๋า 0x55a37a2e5e5973510ac9d9c723aec213fa161919 ทำผิดพลาดและอนุมัติการส่ง DAI ไปยัง SwapGuard ซึ่งเป็นช่องโหว่หลักของการโจมตี” BlockSec กล่าว

เงิน 184,000 ดอลลาร์ถูกส่งไป Tornado Cash

โทเค็นที่โอนไปยังกระเป๋าของผู้โจมตี ได้แก่ BNB, USDT, USDC และ ETH จนถึงตอนนี้ ประมาณ 551 BNB ซึ่งมีมูลค่ามากกว่า 181,000 ดอลลาร์ ถูกย้ายไปยัง Tornado Cash

ทางโปรโตคอลแจ้งว่าผู้ใช้งานไม่ต้องกังวล เนื่องจากเงินที่ถูกขโมยนั้นเป็นค่าธรรมเนียมสะสมของแพลตฟอร์มจากสัปดาห์ที่ผ่านมา แพลตฟอร์มกล่าวว่าปัญหาได้รับการแก้ไขแล้วและกำลังอยู่ในระหว่างการตรวจสอบ

CoW เป็นแพลตฟอร์ม DeFi ล่าสุดที่ต้องทนทุกข์ทรมานจากเงื้อมมือของแฮ็กเกอร์ หลังจากเมื่อสัปดาห์ที่ Orion Protocol และ BonqDAO ถูกแฮ็ก นำไปสู่ความสูญเสีย 3 ล้านดอลลาร์และ 10 ล้านดอลลาร์ตามลำดับ