Platypus-hyökkäys käytti hyväkseen koodin virheellistä järjestystä, tilintarkastaja väittää

Vastuuvapauslauseke: Artikkeli on päivitetty siten, että Omniscia ei tarkastanut MasterPlatypusV4-sopimuksen versiota. Sen sijaan yritys auditoi MasterPlatypusV1-sopimuksen version 21.–5.

8 miljoonan dollarin Platypus-flashlainahyökkäys mahdollisti väärässä järjestyksessä olevan koodin takia. mukaan Platypus Auditor Omniscian post mortem -raporttiin. Tilintarkastusyhtiö väittää, että ongelmallista koodia ei ollut sen tarkastamassa versiossa.

Viimeaikaisen valossa @Platypusdefi tapaus https://t.co/30PzcoIJnt -tiimi on laatinut teknisen post mortem -analyysin, jossa kuvataan kuinka hyväksikäyttö selvisi yksityiskohtaisesti.
Muista seurata @Omniscia_sec saadaksesi lisää tietoturvapäivityksiä!https://t.co/cf784QtKPK pic.twitter.com/egHyoYaBhn
— Omniscia (@Omniscia_sec) Helmikuu 17, 2023

Raportin mukaan Platypus MasterPlatypusV4 -sopimus "sisälsi kohtalokkaan väärinkäsityksen hätävilkkumekanismissaan", mikä sai sen suorittamaan "vakavaraisuustarkistuksen ennen panosasemaan liittyvien LP-merkkien päivittämistä".

Raportissa korostettiin, että hätäpoistotoiminnon koodissa oli kaikki tarvittavat elementit hyökkäyksen estämiseksi, mutta nämä elementit oli yksinkertaisesti kirjoitettu väärässä järjestyksessä, kuten Omniscia selitti:

"Ongelma olisi voitu estää tilaamalla MasterPlatypusV4::emergencyWithdraw-lausunnot uudelleen ja suorittamalla vakavaraisuustarkistus sen jälkeen, kun käyttäjän summaksi on asetettu 0, mikä olisi estänyt hyökkäyksen."

Omniscia auditoi MasterPlatypusV1-sopimuksen version 21.–5. Tämä versio "ei kuitenkaan sisältänyt integraatiopisteitä ulkoiseen platypusTreasure-järjestelmään", eikä se siksi sisältänyt väärin järjestettyjä koodirivejä.

On tärkeää huomata, että käytettyä koodia ei ollut olemassa Omniscian tarkastuksen aikaan. Omniscian näkemys viittaa siihen, että kehittäjien on täytynyt ottaa käyttöön uusi versio sopimuksesta jossain vaiheessa auditoinnin jälkeen.

Tarkastaja väittää, että Avalanche C-Chain -osoitteessa 0xc007f27b757a782c833c568f5851ae1dfe0e6ec7 tehty sopimus on toteutunut. hyödynnetään. Tämän sopimuksen rivit 582–584 näyttävät kutsuvan toimintoa nimeltä "isSolvent" PlatypusTreasure-sopimuksessa, ja rivit 599-601 näyttävät asettavan käyttäjän summan, tekijän ja palkkiovelan nollaan. Nämä määrät asetetaan kuitenkin nollaan, kun "isSolvent"-toiminto on jo kutsuttu.

Platypus-tiimi vahvistettu 16. helmikuuta, että hyökkääjä käytti hyväkseen "puutetta [USP:n] vakavaraisuustarkistusmekanismissa", mutta tiimi ei alun perin antanut lisätietoja. Tämä uusi tarkastajan raportti antaa lisävalaistusta siitä, kuinka hyökkääjä saattoi saada aikaan hyväksikäytön.

Platypus-tiimi ilmoitti 16. helmikuuta, että hyökkäys oli tapahtunut. Se on yrittänyt ottaa yhteyttä hakkeriin ja saada varat takaisin vastineeksi bugipalkkiosta. Hyökkääjä käytetyt pikalainat suorittaa hyväksikäytön, joka on samanlainen kuin sovelluksessa käytetty strategia Defrost Finance -hyödynnä 25. joulukuuta 2022.