13. března v ranních hodinách došlo na DeFi platformě Euler Finance k odcizení různých kryptoměn v celkové hodnotě 197 milionů dolarů. K tomuto datu se tak jedná o nejhorší hack za letošní rok.
Na tuto skutečnost upozornila bezpečnostní analytická firma PeckShield na svém Twitteru. Všimla si podezřelých transakcí, které na Euler Finance proběhly.
Tým Euler situaci okamžitě prověřil a do hodiny potvrdil, že skutečně došlo k útoku. Od té doby se na jejich webové stránce objevil následující informační banner, čekajíc na další informace:
„Jsme si vědomi problému, který v současnosti zasáhl naši platformu. Náš tým nyní spolupracuje s odborníky na bezpečnost a s právníky. Sledujte aktuální info na našich Discord a Twitter kanálech.“
Ukradené byly různé kryptomeny, přičemž největší podíl tvoří stETH, což je derivát stake-ovaného Etherea. Ukradených bylo až 74 000 těchto mincí. Následovaly stablecoiny USDC (přes 34 milionů) a DAI (takmet 9 milionů). Čtveřici zmizelých kryptoměn uzavírá WBTC, což je wrapovaný Bitcoin běžící na blockchaine Ethereum. Těch útočník odcizil 849. Celková hodnota kryptoměn, které byly ukradeny je 196.98 milionu USD.
Různé on-chain analytické firmy zachytily tyto transakce a nadále sledují pohyby ukradených prostředků. Jedna z nich, BlockSec dokonce vytvořila soubor na Google Sheets, na kterém jsou všechny detaily o tomto hacku. Soubor je veřejně dostupný.
Jak došlo k hacku?
Opět byl použit jeden z nejtipičtějších způsobů a tím je flash loan v hodnotě 30 milionů DAI. Jedná se o bleskovou půjčku, která umožňuje půjčení velkého množství finančních prostředků. Samotná půjčka i její splacení vždy probíhá v rámci téže transakce. Jak už bývá zvykem, hacker našel slabinu ve smart kontraktu. Konkrétně šlo o nesprávnou logiku smart kontraktu, který měl za úkol zkontrolovat, zda uživatel, který si bere tuto bleskovou půjčku, disponuje potřebným kolaterálem (zástavou) na danou půjčku. Tato funkce se nazývá „donateToReserve“ Útočník tento kolaterál samozřejmě neměl, avšak protokol to nedokázal rozpoznat a tak tuto půjčku uvolnil.
Kromě toho, že svým rozsahem ukradených prostředků v dolarovém provedení se zatím jedná o největší hack za letošní rok, tak celkově mu náleží 6. místo v žebříčku hacků v kryptomenovém ekosystému.
