Ramon | Kinto ⛩️
Ramon | Kinto ⛩️
ARB-3,36 %
USDC+0,90 %
ETH+0,10 %
🧵 1/10 $K Rekapitulace hacku & Plán obnovy Posledních 72 hodin bylo brutálních. Sofistikované zneužití proxy serveru umožnilo útočníkovi razit neomezené $K na Arbitrum, vyčerpat náš fond Uniswap + trezor Morpho a vyhodit cenu miliony falešných tokenů. Zde je rekapitulace a cesta vpřed 🧵
Kinto
Kinto
Všechny informace o $K Proxy Hack a cestě vpřed v tomto příspěvku na blogu 👇
Gallery 1
2/10 Co se stalo • Skrytý "hacker-proxy" uvnitř ERC-1967 proxy 🚩 • Útočník otočil ukazatelem, zmocnil se majitele() + razil dle libosti • Vyčerpání likvidity a USDC ve výši 1,55 mil. USD během několika minut • Cena se propadla >95 % 💥
Ramon | Kinto ⛩️
Ramon | Kinto ⛩️
1/ Po 12 trýznivých hodinách, teď, když máme více informací, jsme chtěli poskytnout úplnou rekapitulaci toho, co se stalo a jaký je náš plán, jak se odtud zotavit. Hacker dokázal na Arbu razit neomezené množství K tokenů a vzít si 1,55 milionu v ETH a USDC z Uniswapu a Morpho (+ škody na ceně K) 🧵
3/10 Co se nestalo ✅ Kinto L2 kontrakty, bridge, peněženka SDK, AA infra ⛩️ ✅ Vklady/výběry uživatelů na Kinto Chyba byla poměrně složitá a spoléhala se na 10 let starou nehodu se slotem ERC-20 proxy & Block Explorers, o které jsme nepsali.
4/10 Časová osa (UTC) • 9. července 20:17 – Odhalen exploit 10. července, 08:40 – Útočník razí a odčerpává likviditu • 10. července 09:50 – První oznámení týmu Kinto • 10. července 16:18 – Vennovo odhalení uznávající Kinto nebylo oznámeno • 10. července 21:44 – Celé vlákno rekapitulující situaci • 11. července – ZeroShadow angažovanost podepsána a kontaktována úřady • 12. července – Hluboký technický ponor od @pcaversaccio
sudo rm -rf --no-preserve-root /
sudo rm -rf --no-preserve-root /
tak jsem zjistila, že je to ještě hezčí. Všiml jsem si, že frontrunning tx (útočníky) volá 'initialize' a protokoly také volají _úspěšně_ 'initialize' poté (takže si myslí, že je vše v pořádku). Ale počkat, jak je to vůbec možné? Musel jsem se podívat velmi hluboko na změny slotu úložiště a odhadnout, co jsem našel: _resetovali_ hodnotu slotu úložiště '_initialized' na konci frontrunning tx (poté, co přešli na škodlivý implementační kontrakt). To znamená, že úložiště proxy nyní vypadá tak, jak nebylo nikdy inicializováno. Relevantní slot pro úložiště, na který se musíte podívat, je 'keccak256(abi.encode(uint256(keccak256(" - 1)) & ~bytes32(uint256(0xff))' = '0xf0c57e16840df040f15088dc2f81fe391c3923bec73e23a9662efc9c229c6a00' To je zlo další úrovně.
Gallery 1
Gallery 2
5/10 Dopad • Přímá ztráta: 1,55 mil. USD • Tržní kapitalizace: –10 milionů USD • Dodavatelé Morpho dlužili 3,2 milionu dolarů; dlužníci drží 2,4 milionu USD (≥ 3 USD)
6/10 Plán návratu 1️⃣ Nasaďte $K bez proxy v2 na Arbitrum 2️⃣ Snímek a obnovení VŠECH zůstatků (v řetězci + CEX) Blok: 356170028 3️⃣ Nasazení nového fondu Uniswap a opětovné otevření CEXů za cenu před hackem 4️⃣ Dlužníci dostanou 90 pencí na splacení → dodavatelé získají zpět 85 %+ 5️⃣ "Kupující při ponoru" před naší první výstrahou obdrží v2 $K poměrnou část
7/10 Kde jsme nyní • Obchodování zmrazené na Gate, MEXC, BingX • Zbývající likvidita byla odstraněna, aby byli uživatelé chráněni před obchodováním • Práce s vyšetřovateli a výměnami • Práce na migračním plánu
8/10 Získáváme fond na obnovu Bootstrapping nové likvidity není zadarmo. Pokud věříte v poslání společnosti Kinto – bezpečnější a vyhovující DeFi – zvažte pomoc. Každý wei jde na likviditu a restituci. Prosím, kontaktujte 🙏 nás
9/10 Náš slib Nebyla to chyba v kódu Kinto, ale zodpovědnost je na nás. Budeme: • Migrovat token co nejrychleji 🛡️ • Udržujte komunikaci 100% transparentní • Uzdravte každého postiženého uživatele tak rychle, jak je to v lidských silách
Zobrazit originál
Zdrojem jetwitter
26,99 tis.
145
Obsah na této stránce poskytují třetí strany. Není-li uvedeno jinak, společnost OKX není autorem těchto informací a nenárokuje si u těchto materiálů žádná autorská práva. Obsah je poskytován pouze pro informativní účely a nevyjadřuje názory společnosti OKX. Nejedná se o doporučení jakéhokoli druhu a nemělo by být považováno za investiční poradenství ani nabádání k nákupu nebo prodeji digitálních aktiv. Tam, kde se k poskytování souhrnů a dalších informací používá generativní AI, může být vygenerovaný obsah nepřesný nebo nekonzistentní. Další podrobnosti a informace naleznete v připojeném článku. Společnost OKX neodpovídá za obsah, jehož hostitelem jsou externí weby. Držená digitální aktiva, včetně stablecoinů a tokenů NFT, zahrnují vysokou míru rizika a mohou značně kolísat. Měli byste pečlivě zvážit, zde je pro vás obchodování s digitálními aktivy nebo jejich držení vhodné z hlediska vaší finanční situace.