Platypus は、BlockSec の助けを借りて、ハッキングされた資金で 2.4 万ドルを回収しました

Platypus プロトコルが昨日ハッキングされた後、ブロックチェーン セキュリティ会社 BlockSec の支援により、少なくとも 2.4 万 USDC が悪用されたプラットフォームに返還されました。

Platypus から盗まれた約 9.1 万ドルの資金のうち、 明らかになった Blocksec の視覚化ツールである MetalSleuth によると、攻撃者は 270,000 ドルしか現金化できませんでした。

盗まれた約 8.5 万ドルの資金が凍結されています。 縮小することはできません。 それらは転送され、380,000 回目のエクスプロイトの試みからさらに XNUMX ドルが支払われました。 誤って Aave に返送され、オンチェーン データが表示されます。

Platypus のために盗まれた資金の一部を回収することは、攻撃者の契約の抜け穴を利用するという BlockSec の計画を中心に展開されました。

「この抜け穴を利用することで、プロジェクトは攻撃者の契約からプロジェクトのアカウントに資金を移すことができます」と BlockSec の共同創設者 Yajin Zhou 氏は The Block に語った。

「このプロジェクトは、私たちが提供した概念実証を使用して 2 万ドルを回収しました。 これは、攻撃者の契約の資金を回収するためでした」と Zhou 氏は述べ、攻撃者の契約には転送機能がないため、約 8 万ドルの資産が取り残されたと付け加えました。

ハックをコールバックする

暗号を取り戻すために、BlockSec は攻撃者のコントラクトでコールバック関数を使用しました。

「攻撃は、攻撃コントラクトのフラッシュ ローン コールバック インターフェースを通じて開始されました。 このコールバック関数にはアクセス制御がありません。 そして、このコールバック関数の間に、攻撃者は USDC を承認するロジックをプロジェクトのコントラクト (プロキシ) にハードコーディングしました」と Zhou 氏は述べています。

「そのため、プロジェクトは最初に攻撃者コントラクトのコールバック関数を呼び出して、USDC をプロジェクトのコントラクトに承認できます。 その後、プロジェクト コントラクトは、プロキシを新しい実装にアップグレードすることで、攻撃者コントラクトから USDC を撤回できます」と Zhou 氏は述べています。

修正: Platypus の正式名称を修正するために更新しました。