🧵 1/10 $K Hack Oppsummering og gjenopprettingsplan
De siste 72 timene var brutale. En sofistikert proxy-utnyttelse lot en angriper lage ubegrenset $K på Arbitrum, tømme Uniswap-poolen + Morfo-hvelvet vårt og nuke prisen med millioner av falske tokens.
Her er oppsummeringen og veien videre 🧵
2/10 Hva skjedde
• Skjult «hacker-proxy» inne i ERC-1967-proxyen 🚩
• Angriperen snudde pekeren, grep eier() + preget etter eget ønske
• Tappet 1,55 millioner dollar i likviditet og USDC på få minutter
• Prisen kollapset >95 % 💥
1/ Etter 12 opprivende timer, nå som vi har mer informasjon, ønsket å gi en fullstendig oppsummering av hva som skjedde og hva som er planen vår for å komme oss herfra.
Hacker var i stand til å lage ubegrensede K-tokens på Arb og ta 1,55 millioner i ETH og USDC fra Uniswap og Morpho (+ skader på K-prisen) 🧵
3/10 Hva skjedde ikke
✅ Kinto L2-kontrakter, bro, lommebok-SDK, AA-infrastruktur ⛩️
✅ Brukerinnskudd/uttak på Kinto
Feilen var ganske kompleks og var avhengig av det 10 år gamle ERC-20 proxy- og Block Explorers-uhellet som vi ikke skrev.
4/10 Tidslinje (UTC)
• 9. juli 20:17 – Utnyttelse avslørt
• 10. juli 08:40 – Angriperen mynter og tapper likviditet
• 10. juli 09:50 – Første kunngjøring fra Kinto-teamet
• 10. juli 16:18 – Venn-avsløring som anerkjenner Kinto ble ikke varslet
• 10. juli 21:44 – Full tråd som oppsummerer situasjonen
• 11. juli – ZeroShadow-engasjement signert og kontaktet myndighetene
• 12. juli – Dypt teknisk dykk av @pcaversaccio
så jeg fant ut at det er enda mer avansert. Jeg observerte at frontrunning tx (av angriperne) kaller 'initialize' og protokoller kaller også _vellykket_ 'initialize' etter (dermed tror de at alt er normalt). Men vent, hvordan er dette i det hele tatt mulig? Jeg måtte se veldig dypt inn i endringene i lagringssporene og gjette hva jeg fant: de _tilbakestiller_ '_initialized' lagringssporverdien på slutten av frontrunning tx (etter at de byttet til den ondsinnede implementeringskontrakten). Dette betyr at proxy-lagringen ser ut nå som den aldri ble initialisert.
Det relevante lagringssporet å se på er 'keccak256(abi.encode(uint256(keccak256(" - 1)) & ~bytes32(uint256(0xff))' = '0xf0c57e16840df040f15088dc2f81fe391c3923bec73e23a9662efc9c229c6a00'
Dette er ondskap på neste nivå.
5/10 Påvirkning
• Direkte tap: 1,55 millioner dollar
• Markedsverdi: –10 millioner dollar
• Morfo-leverandører skyldte 3,2 millioner dollar; låntakere har 2,4 millioner dollar (liq ≥ 3 dollar)
6/10 Comeback-planen
1️⃣ Distribuer proxy-fri $K v2 på Arbitrum
2️⃣ Øyeblikksbilde og gjenopprett ALLE saldoer (på kjeden + CEX) Blokk:
356170028
3️⃣ Frø ny Uniswap-pool og gjenåpne CEX-er til pre-hack-pris
4️⃣ Låntakere får 90 d til å tilbakebetale → leverandører får tilbake 85 %+
5️⃣ "Dip kjøpere" før vårt første varsel mottar v2 $K pro rata
7/10 Hvor vi er nå
• Handel frosset på Gate, MEXC, BingX
• Gjenværende likviditet fjernet for å beskytte brukere mot handel
• Arbeid med etterforskere og utvekslinger
• Arbeid med migreringsplanen
8/10 Vi samler inn et gjenopprettingsfond
Oppstart av ny likviditet er ikke gratis. Hvis du tror på Kinos oppdrag – tryggere, kompatibel DeFi – bør du vurdere å hjelpe. Hver wei går til likviditet og restitusjon.
Ta kontakt 🙏
9/10 Vårt løfte
Dette var ikke en feil i Kinto-koden, men ansvaret er vårt. Vi vil:
• Migrer tokenet så raskt vi kan 🛡️
• Hold kommunikasjonen 100 % gjennomsiktig
• Gjør hver berørt bruker hel så raskt som menneskelig mulig
26,99k
145
Innholdet på denne siden er levert av tredjeparter. Med mindre annet er oppgitt, er ikke OKX forfatteren av de siterte artikkelen(e) og krever ingen opphavsrett til materialet. Innholdet er kun gitt for informasjonsformål og representerer ikke synspunktene til OKX. Det er ikke ment å være en anbefaling av noe slag og bør ikke betraktes som investeringsråd eller en oppfordring om å kjøpe eller selge digitale aktiva. I den grad generativ AI brukes til å gi sammendrag eller annen informasjon, kan slikt AI-generert innhold være unøyaktig eller inkonsekvent. Vennligst les den koblede artikkelen for mer detaljer og informasjon. OKX er ikke ansvarlig for innhold som er vert på tredjeparts nettsteder. Beholdning av digitale aktiva, inkludert stablecoins og NFT-er, innebærer en høy grad av risiko og kan svinge mye. Du bør nøye vurdere om handel eller innehav av digitale aktiva passer for deg i lys av din økonomiske tilstand.