Понад 40 мільйонів доларів було вкрадено, GMX став жертвою точної атаки.

Оригінал | Odaily (@OdailyChina)

Автор | Ашер(**@Asher_ 0210 )

Вчора ввечері на платформі GMX, провідного DeFi-протоколу на блокчейні, сталася значна безпекова інцидент, внаслідок якого було вкрадено криптоактиви на суму понад 40 мільйонів доларів, включаючи різні основні токени, такі як WBTC, WETH, UNI, FRAX, LINK, USDC, USDT. Після інциденту Bithumb опублікував оголошення про призупинення послуг поповнення та зняття GMX до stabilізації мережі.

Внаслідок цього інциденту з крадіжкою, токен GMX впав більше ніж на 25% за 4 години, його ціна на деякий час опустилася нижче 11 доларів, наразі становить 11,8 доларів. Згідно з даними DefiLlama, TVL GMX знизився з 500 мільйонів доларів до 400 мільйонів доларів до інциденту з крадіжкою, за короткий час падіння склало до 20%.

Платформа GMX зазнала впливу крадіжки, через що її TVL на короткий час впала до 400 мільйонів доларів.

Далі Odaily星球日报 підсумує причини цього інциденту з крадіжкою GMX, реакцію команди та останні дії хакера.

Зловмисники використовують вразливість повторного входу

Основною причиною крадіжки GMX є те, що в основній функції executeDecreaseOrder існує вразливість повторного входу. Першим параметром цієї функції повинен бути зовнішній обліковий запис (EOA), але зловмисник передав адресу смарт-контракту, що дозволило зловмиснику повторно увійти в систему під час процесу викупу, маніпулюючи внутрішнім станом, в результаті чого викуплені активи значно перевищили фактичну вартість GLP, якою він володів.

Партнер Slow Mist і головний директор з інформаційної безпеки 23pds опублікував на платформі X, що у версії GMX V1 створення короткої позиції негайно оновлює глобальну середню ціну коротких позицій (globalShortAveragePrices), яка безпосередньо впливає на розрахунок загальної суми активів під управлінням (AUM), а отже, впливає на оцінку токенів GLP і суму викупу.

Зловмисники скористалися дизайном функції timelock.enableLeverage, яку GMX активував під час виконання замовлення (це передумова для відкриття великих коротких позицій), і активували вразливість повторного входу функції executeDecreaseOrder через виклик контракту. Використовуючи цю вразливість, зловмисники неодноразово створювали короткі позиції, штучно підвищуючи глобальну середню ціну короткої позиції без фактичної зміни ринкової ціни.

Оскільки AUM залежить від цього ціноутворення, платформа помилково включила штучно завищені збитки від коротких позицій у загальну суму активів, що призвело до штучного підвищення оцінки GLP. Атакуючий потім, викупивши GLP, витягнув активи, що значно перевищують його заслуговану частку, реалізувавши величезний прибуток.

Приклад атаки на угоду: line= 93

Офіційна відповідь GMX: Ліквідний пул GLP версії GMX V1 на Arbitrum зазнав вразливості, версія GMX V2 не постраждала

У зв’язку з цією значною подією безпеки команда GMX оперативно зробила офіційну заяву. У своєму дописі на платформі X вони повідомили, що GLP пул GMX V1 на платформі Arbitrum зазнав атаки через вразливість, приблизно 40 мільйонів доларів токенів було переведено з GLP пулу на невідомий гаманець, для розслідування цього інциденту вже залучено партнерів з безпеки.

Наразі платформи Arbitrum та Avalanche відключили торгівлю версією GMX V1, а також функції випуску та обміну GLP, щоб запобігти будь-яким подальшим атакам, але цей вразливість не вплине на версію GMX V2 і не вплине на сам токен GMX.

Оскільки версія GMX V1 зазнала атаки, користувачі можуть знизити ризик, виконуючи такі дії:

• Вимкнення функції кредитного плеча: можна викликати Vault.setIsLeverageEnabled（false） для вимкнення; якщо використовується Vault Timelock, то викликається Timelock.setShouldToggleIsLeverageEnabled（false）。
• Встановіть maxUsdgAmounts для всіх токенів на “1”: використовуйте Vault.setTokenConfig або Timelock.setTokenConfig, щоб запобігти подальшому випуску GLP. Варто зазначити, що це значення повинно бути встановлено на “1”, а не на “0”, оскільки встановлення на 0 означає відсутність обмеження, що, в свою чергу, може призвести до продовження експлуатації вразливості.

Згідно з останнім оновленням, офіційні особи підтвердили, що атака була націлена лише на версію GMX V1, тоді як контракт версії GMX V2 не використовує ту ж обчислювальну механіку. Але з обережності GMX оновив ліміт токенів версії GMX V2 на Arbitrum та Avalanche, тому наразі більшість ліквідних пулів мають обмеження на нову емісію токенів, про скасування цього обмеження буде повідомлено в першу чергу.

Крім того, дані на блокчейні показують, що GMX залишив повідомлення на адресі хакера, визнавши, що зіткнувся з вразливістю версії GMX Vl, і готовий надати 10% винагороди білого капелюха, якщо залишок 90% коштів буде повернуто протягом 48 годин, зобов’язуючись більше не вживати подальших юридичних дій.

GMX залишив повідомлення на адресі хакера, готовий надати 10% винагороди для білих капелюшків.

Хакери перевели понад 30 мільйонів доларів США на нову адресу

З огляду на ознаки з мережі, це була спланована акція, початкові кошти хакера кілька днів тому були переведені з протоколу змішування конфіденційності Tornado Cash, що свідчить про те, що він давно підготувався до цієї атаки.

Після викрадення понад 40 мільйонів доларів криптоактивів, хакери швидко перевели понад 30 мільйонів доларів активів. Згідно з даними на блокчейні, адреса хакера GMX (адреса: 88 BTC (вартість приблизно 9,8 мільйона доларів), понад 2200 ETH (вартість приблизно 5,85 мільйона доларів), понад 3 мільйони USDC, понад 1,3 мільйона DAI переведені на нову адресу 0x99cdeb84064c2bc63de0cea7c6978e272d0f2dae; понад 4300 ETH (вартість приблизно 11 мільйонів доларів) переведені на нову адресу 0x6acc60b11217a1fd0e68b0ecaee7122d34a784c1. Загалом було переведено понад 30 мільйонів доларів на інші нові адреси.

Хакери вкрали активи на понад 40 мільйонів доларів

Поточна адреса хакера має залишок у 10 мільйонів доларів, який ще не був переведений.

“Ланцюговий детектив” ZachXBT написав на платформі X, критикуючи Circle за бездіяльність щодо хакерських дій. Він зазначив, що атака на GMX відбулася вже 1-2 години тому, але Circle не вжила жодних дій щодо хакерських дій, а зловмисники навіть використали крос-ланцюговий протокол передачі коштів Circle (CCTP), щоб перевести вкрадені кошти з Arbitrum на Ethereum.

Підсумок

Ця крадіжка не лише виявила ключові недоліки версії GMX V1 у перевірці прав доступу, послідовності оновлення стану та дизайні механізму важелів, але й знову привернула увагу всієї галузі: у системах, де переплітаються складна фінансова логіка (як-от важелі, динамічне ціноутворення) та шляхи виконання контрактів, будь-який незахищений вхід може перетворитися на початок чорного лебедя.

Варто зазначити, що хакери обміняли більшість вкрадених активів на криптовалюти, які важче заморозити, особливо на децентралізовані активи, такі як ETH та DAI, і завершили розподіл коштів через кілька нових адрес, що ще більше ускладнює відстеження та повернення. А запропонована GMX схема “10% нагорода для білих хакерів в обмін на免责” також виявила реальні труднощі відсутності єдиного механізму юридичної відповідальності у сучасному світі Web3.

Для розробників DeFi, можливо, більш важливим питанням є не те, “як хакери досягають успіху”, а те – чи були встановлені достатні механізми для обмеження найекстремальніших шляхів атак, коли система керує реальними активами користувачів. Інакше, навіть найдосконаліша логіка продукту, якщо їй бракує дизайну безпечних меж, врешті-решт не уникне витрат системного ризику.