Topic: DeFi - "Атаки" и Безопасность - page 17. (Read 11055 times)

Протокол Metaswap Gas (MGAS) на базе Binance Smart Chain стал объектом схемы rug pull, сообщили аналитики PeckShield. Сумма ущерба составила 1100 BNB, которые отправились в сервис Tornado Cash. Соцсети проекта при этом недоступны.
https://forklog.com/?p=160237

Аналитики PeckShield сообщили, что объектом схемы rug pull стал еще один протокол — MetaDAO. Ущерб составил 800 ETH. Средства, как и в случае Metaswap Gas, направлены в Tornado Cash.
https://forklog.com/?p=160237

У проекта DeFi Visor Finance украдены 8.8 млн токенов VISR на $8.2 млн
Протокол DeFi Visor Finance на основе Uniswap подвергся взлому, в ходе которого хакерам удалось украсть 8.8 млн токенов VISR на сумму около $8.2 млн. Курс токена рухнул в 30 раз.

Подробнее на Bits.media: https://bits.media/u-proekta-defi-visor-finance-ukradeny-8-8-mln-tokenov-visr-na-8-2-mln/

Bent Finance похоже хакнут (транзакция на ~ 1 лимон баксов) и официалы  объявили об ограничении клейминга из пулов  ликвидности но у комьюнити есть подозрения, что  о существующей дырке в контракте и возможном эксплойте было известно некоторым сотрудникам компании, которые могли ею воспользоваться -"компания PeckShield, занимающаяся безопасностью блокчейнов, заявила, что транзакция была совершена из Bent Finance Deployer,"

Судя по всему, Grim Finance проходили аудит еще в августе и тогда никаких ошибок в контракте не обнаружили. Однако, самое забавное в этой ситуации то, что компания, которая проводила аудит, пытается оправдаться. В твиттере пишут, что аудит был выполнен новым сотрудником, а их CTO в это время был в отпуске. Действительно, зачем проверять/курировать работу новичка, если "и так сойдет".

Команда платформы децентрализованных финансов Grim Finance сообщила о хакерской атаке, в результате которой злоумышленники похитили $30 млн.

Хакеры получили доступ к кошельку Grim Finance с помощью вредоносного токена в контракте, использовав эксплойт повторного входа. Согласно сообщению проекта, все кошельки скомпрометированы и активы в настоящее время находятся под угрозой.

Разработчики приостановили прием депозитов и призвали пользователей немедленно вывести средства с платформы.

https://forklog.com/?p=159662

Рекап эксплойтов за неделю от С нуля до нуля на крипте
Источник: https://t.me/notothemoon/1572

1. Vulcan Forged. P2E и DeFi.
Улетело: $140m

Vulcan владели кошельками пользователей, созданными через них. Хацкер получилил доступ к 96 таким кошелькам и дёрнул 9% от всего супплая PYR.
Компенсации в пути.
В твиттере (https://twitter.com/VulcanForged/status/1470365117774770180) команда кусает локти и говорит, что если бы отдали кошельки пользователям, такого бы не случилось.

https://www.theblockcrypto.com/post/127270/96-private-keys-stolen-from-vulcan-forged-in-140-million-theft

---

2. Gelato. DeFi.
Улетело: 0
 
В коде была ошибка, позволяющая угнать жетоны с одобрением на бесконечную трату.
Gelato провели White Hat атаку на свой протокол. Вытащили крипты на 26 миллионов вечнохрустящих.

Если вы аппрували что-то на Gelato — Funds are SAFU.
Токены можно забрать тут: http://sorbet.finance/#/pools

https://twitter.com/gelatonetwork/status/1470289886406004736

---

3. 8ight Finance. Olympus-fork на Harmony.
Улетело: $1.8m.

Ликвидность протокола подбросил в воздух Tornado.Cash и унёс в неизвестном направлении.
Рабочая версия — скомпрометированные ключи.

Команда решила форкнуть себя, запуститься на Avalanche и аирдропнуть новые токены пострадавшим.
https://rekt.news/8ight-finance-rekt/

---

4. BNB Heroes. P2E.  
Улетело: $2M.

Комнада накрафтила с контракта токенов, отправила на разные кошельки и долбанула в LP-стакан на Панкейке.

2 забавных вещи:
1. У них был аудит от Certik
2. У них было ограничение на продажу 200k за одну транзакцию. Говорили, шо эт защитит от экплойтов/китов/дампа.

https://twitter.com/RugDocIO/status/1469132782865727493

Тоже вкинул в пул ради дропа, но не изучал особо, на ходу можно сказать получилось.
Просто обозначил, думал позже изучу, а тут вот как повернулось.
А контракты они разрабатывали или это сторонние разрабы ?  В курсе кто?

Ужас конечно. Я вот сейчас грубо говоря держу токены с дропа йоки, поставил на фарм, там % просто нереальные где автостейкинг +-21000%, но вот курс токенов не падает, руки чешутся зафиксить.

Ну обычно в фармилках не держат большой процент от депо (5-10%) и дробят на части, т.к. все таки это достаточно рисковое дело. Мало того что может произойти взлом, еще существует вероятность, что разработчики растворятся в закате с деньгами. Представляю сколько денег у пользователя, который потерял 896.85 BTC, если он следует этому принципу. 

Ничего не вернут, https://etherscan.io/address/0x8f6a86f3ab015f4d03ddb13abb02710e6d7ab31b Кошелек  хацкера грабанувшего моно, уже чистит бабло через Tornado. И куча жалобных комментариев. У самого там лежали средства в пуле ликвидности, ради дропа, вывел в другой проект незадолго до взлома. Фармилки помойки.
Более того, высказывается информация в пабликах что им указывали на уязвимости тестировщики, но они тупо забили не придав значения , а тестировщикам заплатили копейки.

Это уже серъезно. Свои активы нужно только на холодных кошельках хранить. Вот это вот все в долгую намного хуже нежели обычный холд. Получать % на свою крипту это хорошо, но риски как по мне несравнимы.

" Неделя взломов продолжается: с BadgerDAO похитили около $100 млн

Пользователи DeFi протокола Badger DAO сообщили о несанкционированном выводе средств. По предварительным оценкам, украденная сумма составляет около $100 млн.

Вскоре после этого проект подтвердил, что они получили многочисленные сообщения о «несанкционированном выводе средств пользователей».

В PeckShield заявили, что один из пользователей платформы потерял 896.85 BTC (~$51 млн).

Команда начала расследование и приостановили все смарт-контракты, чтобы «предотвратить дальнейшее снятие средств».

В результате взлома токен BADGER упал на 20%. "

Источник: https://t.me/incrypted/11723

Первый пост посмотри, там многоэтих ошибок. Если она детская, почему раньше не забрал?
2 независимых аудита у проекта.

Ошибка конечно детская, не знаю как командла проекта не смогла её увидеть. Я хоть и успел случайно 3 дня назад выйти, но вот друзей немного зацепило. Думаю что с временем они вернут утраченные деньги инвесторам, но осадок останется.

MonoXFinance $31 М

https://twitter.com/FrankResearcher/status/1465679352448917504

"Мне даже стало немного скучно, но полчаса назад украли 31 миллион долларов из @MonoXFinance

- 5.7M MATIC ($10.5M)
- 3.9k WETH ($18.2M)
- 36.1 WBTC ($2M)
- 1.2k LINK ($31k)
- 3.1k GHST ($9.1k)
- 5.1M DUCK ($257k)
- 4.1k MIM ($4.1k)
- 274 IMX ($2k)"

Недавно у MONO стартовал в Primelist на бирже Хуоби
https://www.huobi.com/ru-ru/exchange/mono_usdt/

По данным Elliptic другие данные, отчет можно скачать по ссылке, нужна регистрация.

DeFi: риск, регулирование и рост DeCrime
https://www.elliptic.co/resources/defi-risk-regulation-and-the-rise-of-decrime

Пользователи и инвесторы DeFi понесли убытки на сумму более 12 миллиардов долларов из-за краж и мошенничества.
Эти убытки растут, и на сегодняшний день они составят 10,5 млрд долларов США в 2021 году по сравнению с 1,5 млрд долларов США в 2020 году.

Cream после хака на 130М решили раздать CREAM-токены всем пострадавшим (необходимо клеймить) Этот процесс подачи заявок будет доступен в течение 1 года с момента публикации этой публикации - пишет команда в медиуме.
Пользователям которым успешно покрыли полные страховые выплаты с помощью Nexus Mutual или Bridge Mutual не будут иметь права требовать CREAM, если они были покрыты страховкой на 100%.
Так же убрали оставшиеся токены CREAM, предназначенные для команды.
Источник: https://cp0x.com/topic/470-cream-finance-platforma-defi/?do=findComment&comment=11735

MidasTheFool освещает историю с токеном $MOCHI

$Mochi - пирамидальная недоколлатеризированная платформа, где у владельца контракта 99.5% эмиссии токена, а его полная капитализация $61B (халиф на час от скамера-фаундера Armor.fi/SAFE с капитализацией размером в XRP)

«Сегодня ночью была объявлена DeFi война. Дам краткое описание схватки, куда вступили: Azeem, кит Tetranode, Андре Кронье и многие другие:

Идет гигантская продолжающаяся война за то, чтобы накопить достаточное влияние и власть над протоколом, а вернее эмиссией токенов DeFi обменника CRV.
У многих протоколов defi есть свои союзники и сторонники. И многие из них были заинтересованы в том, чтобы получить большую позицию и влияние в токене $CVX.
Это привело бы к прибыльной эмиссии CRV в их протоколы, а также к получению дополнительного дохода от их влияния на протокол CRV.

Но, будучи децентрализованными организациями, все они должны предложить идею, а затем заставить владельцев токенов проголосовать и принять предложение.
$OHM и $ROOK проводили голосование, чтобы сделать это. Даже $SPELL имеет место в экосистеме с использованием механизма Bribe
Эти голосования, хотя и демократические, продвигаются медленнее, чем отдельные участники.

$Mochi, казалось бы, возник из ниоткуда. Его залистили в паре к эфиру с 1720 ETH ликвидности, и дегены всех мастей начали его немедленно покупать, думая, что это какой-то мем токен, где они и рыбку съедят и эфиры приумножат.

А потом происходит то, что планировал изначально создатель этого скам-протокола:
Используя в качестве залога свой токен $MOCHI, где у него сосредоточено 99.5% эмиссии, он кладет его в свою платформу, минтит под залог ничем не обеспеченного фантика стейблкоин USDM, меняет $48М USDM на DAI через пул CRV, делая его состоящим из необеспеченного стейбла USDM.

Затем эти стейблы размениваются и создатель протокола $MOCHI покупает $CVX на сумму 6000 ETH - создавая богоподобную свечу, пробивающую потолок.
Пока все остальные заняты голосованием и размышлениями, $MOCHI решает просто всех поиметь.
Это мгновенно делает их владельцами cvx/crv, которыми они ВЛАДЕЮТ, а не подкупают через голосование.

Другие лидеры протоколов DeFi не впечатлены. FUD распространяется быстро, в том числе от Андре Кронье. Но токен $MOCHI продолжает расти под напором дегенов на юнисвапе.
Приводятся аргументы в пользу того, что держатели $MOCHI подвергают LP риску.

Андре Кронье: «Не могу поверить, что протокол подвергнет их LP такому риску. В настоящее время протокол недостаточно обеспечен на 65%, LP пострадали, позиция в 48 миллионов долларов не может быть развернута (в настоящее время убыток в 10 миллионов долларов). Если все пойдет по плану (cvx + mochi + ликвидность), то все получится, но риск для пользователей, что не все пойдет по плану».

Основатель $MOCHI - известный скамер. Мошенничал с предыдущими страховыми продуктами (armorfi/SAFE), не выплачивал позиции.
Войну протоколу $Mochi объявил известный кит Tetranode, известный как маркет-мейкер в том числе $CVX токена.

Создатель $Mochi поставил себя в неловкое положение, залочив $CVX на 16 недель, а значит, в долгой войне с Tetranode проект может и не быть успешен».
Источник: https://t.me/Defiscamcheck/2228

В скором времени (может не в скором) лайтинг будет частью дефи. Платформа смарт-контрактов mintlayer строит решение для взаимодействия с лайтингом. Mintlayer - это сайдчейн Биткойна.
Может притянуто за уши, просто с таким ходом мыслей я посчитал что делаю все верно.

"Группа мошенников использовала тонкую уязвимость в боте @lntxbot. Они украли ~14 миллионов сатов (~ 9к $).
Бот будет отключен, пока мы решаем, что делать дальше.
Не переживайте. Funds are SAFU. Алистар Милн пообещал возместить утерянные средства.
Похоже, бот будет продолжать продвигать сеть Lightning в Telegram-массы.
Источник: https://t.me/bitcoin_translated/1636