Cydgrynwr dexible wedi'i hacio am $2M trwy swyddogaeth 'selfSwap'

Mae'r cydgrynhoad cyfnewid aml-gadwyn Dexible wedi cael ei daro gan ecsbloetiaeth, ac mae gwerth $2 filiwn o arian cyfred digidol wedi'i golli o ganlyniad, yn ôl adroddiad post-mortem Chwefror 17 a ryddhawyd gan y tîm ar weinydd Discord swyddogol y prosiect.

O 6:35 pm UTC ar Chwefror 17, mae pen blaen Dexible yn dangos rhybudd pop-up am y darnia pryd bynnag y bydd defnyddwyr yn llywio iddo.

Am 6:17 am UTC, adroddodd y tîm ei fod wedi darganfod “hac posibl ar gontractau Dexible v2” a’u bod yn ymchwilio i’r mater. Tua naw awr yn ddiweddarach, rhyddhaodd ail ddatganiad ei fod bellach yn gwybod “Cafodd $2,047,635.17 ei ecsbloetio o 17 o gyfeiriadau masnachwr. 4 ar mainnet, 13 ar arbitrwm.”

Cyhoeddwyd adroddiad post-mortem am 4:00 pm UTC fel ffeil PDF a’i ryddhau ar Discord, a dywedodd y tîm ei fod yn “gweithio’n weithredol ar gynllun adfer.”

Yn yr adroddiad, dywed y tîm ei fod wedi sylwi bod rhywbeth o'i le pan symudodd un o'i sylfaenwyr werth $ 50,000 o crypto allan o'i waled am resymau nad oeddent yn hysbys ar y pryd. Ar ôl ymchwilio, canfu'r tîm fod ymosodwr wedi defnyddio swyddogaeth hunangyfnewid yr ap i symud gwerth dros $2 filiwn o crypto gan ddefnyddwyr a oedd wedi awdurdodi'r ap yn flaenorol i symud eu tocynnau.

Roedd y swyddogaeth selfSwap yn caniatáu i ddefnyddwyr ddarparu cyfeiriad llwybrydd a data call sy'n gysylltiedig ag ef i wneud cyfnewidiad o un tocyn am un arall. Fodd bynnag, nid oedd rhestr o lwybryddion wedi'u cymeradwyo ymlaen llaw wedi'u cynnwys yn y cod. Felly, defnyddiodd yr ymosodwr y swyddogaeth hon i gyfeirio trafodiad o Dexible i bob contract tocyn, gan symud tocynnau defnyddwyr o'u waledi i gontract smart yr ymosodwr ei hun. Oherwydd bod y trafodion maleisus hyn yn dod o Dexible, yr oedd defnyddwyr eisoes wedi awdurdodi i wario eu tocynnau, nid oedd y contractau tocyn yn rhwystro'r trafodion.

Cysylltiedig: Dylanwadwr NFT yn dioddef ymosodiad seibr, yn colli $300K+ CryptoPunks

Ar ôl derbyn y tocynnau yn eu contract smart eu hunain, tynnodd yr ymosodwr y darnau arian trwy Tornado Cash yn ôl i mewn i BNB anhysbys (BNB) waledi.

Mae Dexible wedi oedi ei gontractau ac wedi annog defnyddwyr i ddirymu awdurdodiadau tocyn ar eu cyfer.

Mae'r arfer cyffredin o awdurdodi cymeradwyaethau tocyn ar gyfer symiau mawr weithiau wedi arwain at golledion i ddefnyddwyr crypto oherwydd bygi neu gontractau maleisus llwyr, gan arwain rhai arbenigwyr i rybuddio defnyddwyr i dirymu cymeradwyaethau yn rheolaidd. Nid yw pennau blaen y rhan fwyaf o apiau Web3 yn caniatáu i ddefnyddwyr olygu'n uniongyrchol faint o docynnau a gymeradwyir, felly mae defnyddwyr yn aml yn colli cydbwysedd llawn eu tocynnau os yw ap yn troi allan i fod â diffyg diogelwch. Mae MetaMask a waledi eraill wedi ceisio trwsio'r broblem hon trwy ganiatáu i ddefnyddwyr olygu cymeradwyaeth tocyn ar y cam cadarnhau waled, ond mae llawer o ddefnyddwyr crypto yn dal i fod yn anymwybodol o'r risg o beidio â defnyddio'r nodwedd hon.