Cetus зазнав атаки через вразливість переповнення математичних операцій, втративши понад 2,3 мільярда доларів
22 травня постачальник ліквідності на екосистемі SUI, Cetus, ймовірно, став жертвою атаки, що призвело до значного зниження глибини ліквідного пулу, а також до падіння кількох торгових пар токенів. Орієнтовні збитки перевищують 230 мільйонів доларів. Cetus пізніше опублікував оголошення, що тимчасово призупинив смарт-контракт і проводить розслідування події.
Основою цієї атаки є те, що зловмисник, ретельно конструюючи параметри, використовує уразливість математичного переповнення в системі, щоб обміняти дуже невелику кількість токенів на величезні ліквідні активи. Основні етапи процесу атаки включають в себе наступні кроки:
Зловмисник позичає велику кількість haSUI через кредит на блискавку, що призводить до падіння ціни в пулі на 99,90%.
Відкрити ліквідні позиції в дуже вузькому ціновому діапазоні, ширина діапазону всього 1.00496621%.
Використовуючи уразливість обходу перевірки переповнення checked_shlw у функції get_delta_a, заявіть про додавання величезної ліквідності, але насправді сплатіть лише 1 токен.
Видалити ліквідність, отримати велику кількість haSUI та SUI токенів.
Повернути блискавичний кредит, завершити атаку.
Атакуючим вдалося отримати прибуток приблизно в 230 мільйонів доларів, включаючи різні активи, такі як SUI, vSUI, USDC тощо. Після атаки частина коштів була переведена на EVM-адресу через крос-ланцюговий міст, зокрема приблизно 10 мільйонів доларів було внесено в Suilend, 24,022,896 SUI було переведено на нову адресу.
На щастя, завдяки співпраці Фонду SUI та інших учасників екосистеми вдалося успішно заморозити вкрадені кошти в розмірі 162 мільйонів доларів США на платформі SUI.
Cetus випустив патч для виправлення помилок, який головним чином виправляє помилку маски та умови перевірки у функції checked_shlw, щоб забезпечити правильне виявлення випадків переповнення.
Цей напад підкреслив небезпеку математичних переповнень. Розробники повинні ретельно перевіряти всі граничні умови математичних функцій під час розробки смарт-контрактів, щоб запобігти повторенню подібних атак.
Ця сторінка може містити контент третіх осіб, який надається виключно в інформаційних цілях (не в якості запевнень/гарантій) і не повинен розглядатися як схвалення його поглядів компанією Gate, а також як фінансова або професійна консультація. Див. Застереження для отримання детальної інформації.
17 лайків
Нагородити
17
6
Поділіться
Прокоментувати
0/400
GateUser-1a2ed0b9
· 22год тому
Математика, хто її розуміє...
Переглянути оригіналвідповісти на0
GateUser-aa7df71e
· 22год тому
Подивіться, я ж казав, що sui – це сміттєва мережа.
Переглянути оригіналвідповісти на0
GateUser-c802f0e8
· 22год тому
Чекаю на Кліпові купони
Переглянути оригіналвідповісти на0
ChainSpy
· 22год тому
Ой, знову треба виходити на новини.
Переглянути оригіналвідповісти на0
ZeroRushCaptain
· 22год тому
Ще одне поле битви зазнало втрат, мій нагадувач про обдурювання людей, як лохів, спрацював.
Переглянути оригіналвідповісти на0
MetaverseLandlord
· 22год тому
Це тепер вечірка проєкту і штани поки що втратили.
Cetus зазнав атаки переповнення математичних даних, втратили 230 мільйонів доларів, 162 мільйони вже заморожені.
Cetus зазнав атаки через вразливість переповнення математичних операцій, втративши понад 2,3 мільярда доларів
22 травня постачальник ліквідності на екосистемі SUI, Cetus, ймовірно, став жертвою атаки, що призвело до значного зниження глибини ліквідного пулу, а також до падіння кількох торгових пар токенів. Орієнтовні збитки перевищують 230 мільйонів доларів. Cetus пізніше опублікував оголошення, що тимчасово призупинив смарт-контракт і проводить розслідування події.
Основою цієї атаки є те, що зловмисник, ретельно конструюючи параметри, використовує уразливість математичного переповнення в системі, щоб обміняти дуже невелику кількість токенів на величезні ліквідні активи. Основні етапи процесу атаки включають в себе наступні кроки:
Зловмисник позичає велику кількість haSUI через кредит на блискавку, що призводить до падіння ціни в пулі на 99,90%.
Відкрити ліквідні позиції в дуже вузькому ціновому діапазоні, ширина діапазону всього 1.00496621%.
Використовуючи уразливість обходу перевірки переповнення checked_shlw у функції get_delta_a, заявіть про додавання величезної ліквідності, але насправді сплатіть лише 1 токен.
Видалити ліквідність, отримати велику кількість haSUI та SUI токенів.
Повернути блискавичний кредит, завершити атаку.
Атакуючим вдалося отримати прибуток приблизно в 230 мільйонів доларів, включаючи різні активи, такі як SUI, vSUI, USDC тощо. Після атаки частина коштів була переведена на EVM-адресу через крос-ланцюговий міст, зокрема приблизно 10 мільйонів доларів було внесено в Suilend, 24,022,896 SUI було переведено на нову адресу.
На щастя, завдяки співпраці Фонду SUI та інших учасників екосистеми вдалося успішно заморозити вкрадені кошти в розмірі 162 мільйонів доларів США на платформі SUI.
Cetus випустив патч для виправлення помилок, який головним чином виправляє помилку маски та умови перевірки у функції checked_shlw, щоб забезпечити правильне виявлення випадків переповнення.
Цей напад підкреслив небезпеку математичних переповнень. Розробники повинні ретельно перевіряти всі граничні умови математичних функцій під час розробки смарт-контрактів, щоб запобігти повторенню подібних атак.