Hacker tappar ETH till ett värde av 1.4 miljoner dollar från NFT-långivaren Omni

Omni, en icke-fungibel token (NFT) penningmarknadsplattform, dränerades på cirka 1,300 1.43 ETH (XNUMX miljoner USD) i en attack för återinträde av flashlån i söndags, enligt till PeckShield.

Omni tillåter användare att satsa sina NFT:er, vanligtvis från populära samlingar som Bored Ape Yacht Club, för att ta emot tokens som eter (ETH). 

Dagens attack såg hackaren utnyttja en sårbarhet för återinträde i Omni-protokollet. Återinträde är en känd sårbarhet i projekt kodade med Solidity som gör att en oseriös aktör kan tvinga sitt smarta kontrakt att göra ett externt samtal till ett opålitligt kontrakt. Detta externa samtal exekveras före den ursprungliga funktionen och kan således användas för att upprepade gånger gå in i protokollet för att tömma dess likviditet.

Yajin Zhou, VD för blockchain-säkerhetsföretaget BlockSec, förklarade processen för exploateringen för The Block och sa att angriparen deponerade NFT:er från en samling som heter Doodles. Dessa NFT:er användes som säkerhet för att låna inpackad ETH (WETH).

Angriparen utnyttjade sedan sårbarheten för återinträde genom att dra tillbaka alla utom en av de NFT:er som deponerats som säkerhet. Denna åtgärd triggas en skadlig återuppringningsfunktion till förmån för angriparen. Denna funktion gjorde det möjligt för hackaren att använda de lånade medlen för att köpa ännu fler Doodles innan han likviderade lånepositionen.

När positionen är likviderad returneras den återstående Doodle NFT från den ursprungliga säkerheten tillbaka till angriparen. Lånepositionen likvideras eftersom värdet av den NFT som initialt lämnades som säkerhet innan återuppringningsfunktionen åberopades inte var tillräckligt för att täcka skuldpositionen. Det är här återinträdet kommer in, eftersom angriparen kan tvinga igenom att använda den lånade WETH för att köpa fler NFT innan likvidationen inträffar.

Angriparen använde sedan Doodles som förvärvades med det ursprungliga lånet som säkerhet för att låna mer WETH. Omni kände dock inte igen denna nya skuldposition, så hackaren kunde dra tillbaka NFT utan att betala tillbaka lånet.

Attacken dränerade mer än 1,300 1.4 WETH (XNUMX miljoner USD) från protokollet. Omni sa att exploateringen inte påverkade några kundmedel eftersom endast interna testmedel påverkades, eftersom plattformen fortfarande är i betatestläge.

NFTs penningmarknadsplattform sa att den har pausat protokollet i väntan på en fullständig utredning. Data från Etherscan visar att exploatören redan har tvättat pengarna via Tornado Cash, en myntblandningstjänst för privata transaktioner på Ethereum.

© 2022 The Block Crypto, Inc. Alla rättigheter förbehållna. Den här artikeln är endast avsedd för informationsändamål. Det erbjuds inte eller är avsett att användas som juridisk, skatt, investering, finansiell eller annan rådgivning.