Атака на DeFi-протокол Curve Finance привела к потере 52 млн долларов

Что произошло? 30 июля DeFi-протокол Curve Finance подвергся атаке с использованием ошибки повторного входа, в результате которой были украдены криптовалюты стоимостью 52 млн долларов. По данным предварительного расследования, в некоторых версиях компилятора Vyper, используемого проектом, некорректно реализована защита от повторного входа, которая предотвращает одновременное выполнение нескольких функций путем блокировки контракта.

Подробности инцидента. По данным команды Curve Finance, были затронуты пулы alETH/msETH/pETH, использующие версию Vyper 0.2.15. Контракты crvUSD и любые связанные с ними пулы не пострадали. Vyper — это язык программирования, предназначенный для виртуальной машины Ethereum (EVM).

Источник: Twitter.com

Атака затронула сразу несколько децентрализованных финансовых проектов. Биржа Ellipsis сообщила, что было затронуто несколько пулов с токеном BNB, использовавших старую версию Vyper.

Источник: Twitter.com

Протокол Alchemix и мост JPEG’d потеряли 13 и 11 млн долларов соответственно.

Источник: Twitter.com

В результате атаки курс нативного токена Curve Finance (CRV) обвалился на 14%. На 21 июля 11:15 мск он частично восстановился до отметки $0,639504 по данным агрегатора CoinGecko.

Основатель криптоплатформы Matrixport Джихан Ву выразил проекту поддержку, и заявил, что закупил токены CRV на падении. По его мнению, в предстоящей масштабной волне токенизации реальных активов Curve Finance является одной из важнейших инфраструктур.

Источник: Twitter.com

31 июля эксперты компании в сфере кибербезопасности PeckShield сообщили, что взломщик Curve Finance вернул проекту часть активов (2879 ETH) стоимостью 5,4 млн долларов.

Источник: Twitter.com

По данным DeFiLlama, общая заблокированная стоимость (TVL) проекта с момента взлома упала с 3,26 до 1,73 млрд долларов.

Ранее в этом месяце из-за атаки повторного входа протоколы EraLend и Conic Finance потеряли 3,4 и 3,2 млн долларов соответственно.

Источник