Хакеры вывели $7,3 млн из протокола DxSale

Злоумышленники опустошили контракты DeFi-платформы DxSale, похитив активы на сумму 7,3 миллиона долларов. Атака, затронувшая ликвидность, заблокированную еще в 2021 году, стала возможной благодаря серии манипуляций с правами владения смарт-контрактами, что позволило хакерам беспрепятственно вывести средства, которые считались защищенными.

Аналитики PeckShield отследили часть похищенных средств: около 1,87 миллиона долларов в BNB были переведены на кошельки, связанные с биржей Binance. Исследователь блокчейна Tahax пришел к выводу, что уязвимость возникла из-за подозрительной смены владельца контракта. За несколько месяцев до инцидента права на управление передавались через цепочку из 80 транзакций, что в итоге привело к получению контроля атакующим адресом.

Специалисты Coinsult указывают на использование привилегированной функции контракта, которая позволила изменить настройки блокировки активов. Злоумышленники обманули систему, заставив её считать заблокированную ликвидность доступной для вывода. Не исключено, что в контракте-развертывателе изначально присутствовал бэкдор, упростивший доступ к средствам. К моменту обнаружения бреши часть криптовалюты уже была пропущена через миксеры, что усложняет попытки возврата активов.