На 7 юни някой публикува a Reddit резба което по-късно беше изтрито от модератора на форума. Нишката съдържаше сериозно твърдение — мрежата Osmosis имаше грешка, която позволяваше на доставчиците на ликвидност да спечелят допълнителни 50% при добавяне и изтегляне на ликвидност.
осмоза (осмос) е блокчейн в екосистемата на Cosmos, който предлага децентрализиран обмен и портфейл.
Твърдението изглеждаше невероятно, докато мрежата не беше спряна за спешна поддръжка.
Здравейте @osmosiszone приятели. От блок #4713064 веригата Osmosis е спряна за спешна поддръжка.
По това време Osmosis DEX и портфейлът не работят, докато ремонтът не бъде завършен.
?Моля, изчакайте, докато разработчиците работят, за да ни върнат.
— ??EmperorOsmo (хаторски възли)?? (@Flowslikeosmo) Юни 8, 2022
Въпреки че екипът на Osmosis не е признал експлоат по това време, спирането настъпи, след като няколко нападатели източиха около 5 милиона долара.
Пуловите за ликвидност НЕ бяха „източени напълно“.
Разработчиците коригират грешката, определят размера на загубите (вероятно в диапазона от ~$5 милиона) и работят върху възстановяването.
Повече информация предстои. https://t.co/WOu7MMgSUM
— Осмоза? (@osmosiszone) Юни 8, 2022
Екипът на Osmosis идентифицира грешката и разработи пач, който се тества преди внедряването. Разработчиците все още работят по рестартирането на мрежата.
Актуализация: Грешката е идентифицирана и е написана корекция.
Провеждат се още тестове, преди да бъдат препоръчани валидатори за координиране на рестартиране.
Пълен доклад за грешки и план за действие за по-задълбочено и правилно тестване от край до край на надстройките на веригата, което да последва през следващите дни. https://t.co/DjJMOEQxrT
— Осмоза? (@osmosiszone) Юни 8, 2022
Ето как нападателите успяха да експлоатират мрежата, както се вижда от активността във веригата:
Потребител на Twitter посочи в нишка, че един от нападателите е добавил ликвидност под формата на USD Coin (USDC) и OSMO. След това нападателят получи в замяна токени GAMM LP, които представляваха техния дял в пула. Тези извършители незабавно изтеглиха токените GAMM LP, като по този начин спечелиха 50% повече от сумата на USDC и OSMO, които бяха добавени като ликвидност.
Първо, очевидно subredditer извика това преди време - така че им подкрепям.
➼ Значи портфейлът (osmo1hq) е експлоататор.
Първо той предоставя ликвидност под формата на $ USDC (Проверих това в изходния код) + $ OSMO
След това получава $GAMM LP жетони в замяна. pic.twitter.com/K3JzrDRPMN
— Andeh #OnChain (@0xLosingMoney) Юни 8, 2022
След това извършителят е разменил OSMO токените с ATOM и ги изпратил в други портфейли. Същият процес се повтаряше отново и отново — всеки път, когато нападателят спечели 50% повече токени.
Повечето от приходите в OSMO бяха заменени за ATOM и прехвърлени в портфейл, който съдържа токени ATOM на стойност 9 милиона долара, се казва в нишката в Twitter. Този портфейл обаче не включва USDC токените, които нападателят е получил чрез използване на грешката - USDC токените не са нито разменени, нито прехвърлени, добавя нишката.
След като се забавлява,
➼ Той изпраща $ ATOM към верига от други портфейли.
Трудно е да се каже на https://t.co/o02L0T5QtQ скенер колко общо беше, но проследих портфейлите и... pic.twitter.com/dchu2pDgQG
— Andeh #OnChain (@0xLosingMoney) Юни 8, 2022
Осмозата идентифицира нападателите; FireStake излиза
Четирима нападатели са идентифицирани като ключови извършители, откраднали над 95% от експлоатираната сума, според нишка в Twitter на Osmosis. Двама от четиримата нападатели са се включили доброволно да върнат пълните откраднати средства. Другите две имат транзакции към и от централизирани борси, които са били алармирани за идентифициране на извършителите и възстановяване на средствата.
Update:
– Идентифицирани са 4 лица, които представляват 95%+ от реализирания експлойт.
– 2 от 4-те лица са заявили проактивно намерение да върнат изцяло използваната сума.
— Осмоза? (@osmosiszone) Юни 8, 2022
Едва час след туит на Osmosis относно нападателите, FireStake – валидатор в екосистемата на Cosmos – се появи в туит и призна, че е използвал грешката на LP, но отбеляза, че се опитват да „оправят нещата“ и работят с екипа на Osmosis за връщане на експлоатираните средства.
Скъп @osmosiszone общност, много от вас знаят за грешката в Osmosis LP, която се случи вчера.
Не вярвайки, че това е истинско, двама членове на @fire_stake започна да тества, за да види дали грешката съществува, тестването прерасна във временна пропуск в добра преценка и...
— FireStake | Валидатор (@stake_fire) Юни 8, 2022
в процеса успяхме да конвертираме $226 USD в ~$2 милиона. Мислехме за бъдещето на нашето семейство, а не за бъдещето на нашата общност.
Малко след като го направихме, цяла нощ наблягахме как можем да оправим нещата. В момента работим с екипа на Osmosis...
— FireStake | Валидатор (@stake_fire) Юни 8, 2022
да върне средствата възможно най-скоро. Ние също така работим с екипа на Osmosis, за да насърчим всеки друг, който се е възползвал от тази ситуация, да се изкаже и да върне средства.
Можете да дойдете при нас и ние можем да ви помогнем да действаме като връзка. Трябва да направим това правилно.
— FireStake | Валидатор (@stake_fire) Юни 8, 2022
Източник: https://cryptoslate.com/attackers-drain-5-million-from-osmosis-firestake-validator-admits-to-exploiting-lp-bug/