Akcja etycznych hakerów ratuje 23 tys. NFT po wykorzystaniu luki w procesorze płatności

25 września portfel powiązany z pseudonimowym badaczem bezpieczeństwa Quitem wyprowadził 3832 NFT-y z setek niepowiązanych ze sobą portfeli. Był to pierwszy widoczny sygnał akcji ratunkowej opartej na błędzie w kontrakcie Payment Processor V2 firmy LimitBreak.

W ramach akcji przeniesiono ostatecznie 23 155 NFT-ów o wartości blisko 6 milionów dolarów, natomiast osobna ścieżka exploita sprawiła, że 660 WETH nie udało się odzyskać.

Białohakerska akcja przenosi tysiące NFT-ów

Incydent zwrócił na siebie uwagę, gdy trader NFT Cirrus poinformował, że portfel opróżnił z 3832 NFT-ów ponad 100 innych portfeli. Quit, który jest również wiceprezesem ds. blockchaina w Yuga Labs, potwierdził później, że transfery były częścią białohakerskiej akcji.

„Wszystkie aktywa w 0x71cF3f5724bD2B72Ef6464992aCd26216DE7fe33 są bezpieczne i zostaną zwrócone, gdy przestaną być zagrożone” — napisał badacz.

Wyjaśnił, że problem dotyczył Payment Processor V2. O 9:00 czasu wschodniego USA napastnik wykorzystał błąd, by przejąć 10 Meebits, 50 Otherdeeds, 10 NFT-ów World of Women i 235 Despertae Apewives.

Quit odkrył następnie, że wiele innych NFT-ów było narażonych na tę samą podatność, ale sytuację komplikował fakt, że nie można było wstrzymać działania V2. Po otrzymaniu zgłoszenia LimitBreak zdołał wstrzymać Payment Processor V3, jednak V3 na ApeChain również przez pewien czas nie dało się wstrzymać.

„Jedynym sposobem na ochronę zagrożonych aktywów było przeprowadzenie białohakerskiej akcji” — zauważył Quit.

Łącznie uratowano 23 155 NFT-ów, a badacz oszacował ich wartość na około 6 milionów dolarów. Właściciele będą mogli później odebrać swoje aktywa po cofnięciu podatnych uprawnień.

Ratunek nie objął jednak wszystkich aktywów narażonych na tę lukę, ponieważ Quit później odkrył, że podatność można wykorzystać również w odwrotny sposób, by ukraść WETH, co naraziło na ryzyko 660 WETH.

„Pracowałem całą noc, by uratować NFT-y warte około 6 milionów dolarów, a jedyne, o czym będę w stanie myśleć, to 1,7 miliona dolarów w WETH, których nie udało mi się uratować na czas” — napisał na X.

Drugi atak tego samego dnia

Incydent związany z NFT-ami miał miejsce niemal w tym samym czasie co atak na Bitget, podczas którego hakerzy przelali ponad 351 milionów dolarów z części gorących i ciepłych portfeli giełdy. Zimne portfele, w których przechowywana była większość aktywów giełdy, pozostały nietknięte.

Jako CryptoPotato poinformowała dziś wcześniej, że dyrektor generalna Bitget, Gracy Chen, przypisała straty przejęciu kontroli nad systemem zaplecza, który pozwolił atakującemu fałszować dane transakcji, a nie kradzieży klucza prywatnego. Dodała też, że poszkodowani klienci otrzymają zwrot środków z wartego 464 miliony dolarów funduszu ochrony użytkowników Bitget.

XRP stanowił największą pojedynczą część skradzionej kryptowaluty — ponad 100 milionów jednostek o łącznej wartości przekraczającej 158 milionów dolarów, rozłożonych na kilka portfeli.

Źródło: CryptoPotato