30 מיליון דולר נגנבו בשבוע שעבר מה"כספות" (חשבונות) של פלטפורמת ה-DeFi (יישומים בנקאיים מבוזרים על בסיס קריפטו) Grim Finance, כך הודיעה החברה בשבת.

"הכספות שלנו נוצלו היום על ידי גורם צד שלישי בלתי ידוע. הצוות עובד על מאמר שיסביר מה קרה ומה יקרה, נוכל רק לבקש את סבלנותכם", כתבה החברה בטוויטר. היא הוסיפה כי "בלב כבד אנו מודיעים לכם כי הפלטפורמה שלנו נוצלה היום על ידי תוקף חיצוני. כתובת התוקף זוהתה עם יותר מ-30 מיליון דולר של שלל גנוב", ואף הזהירה כי כל חשבונות המשתמשים פגיעים לפריצה ועודדה את המשתמשים למשוך את כל כספם מהשירות ברגע שיצליחו, שכן היא האטה את יכולת המשיכה כדי למנוע משיכות מזויפות.

הבאג שאפשר את השוד היה טעות בקוד של הפלטפורמה, שגרמה לכך שהתוקף יכול היה לנסות למשוך כספים רבים מהארנקים של הפלטפורמה כאשר הוא בעצם מריץ בלולאה קוד שסכום המשיכה בו הוא אפס. אלא שאחרי מספר מסוים של לולאות הוא יכול לבצע משיכה של סכום אמתי – והוא יוכפל בכמות הפעמים שלולאת בקשת המשיכה רצה לפני כן, גם אם חלקו של התוקף במאגר המטבעות של הפלטפורמה קטן בהרבה מסכום התוצאה.

עוד ב-

שלוש עקיצות ענק במטבעות קריפטו תוך שלושה ימים

לכתבה המלאה

זמן קצר לאחר גילוי הפרצה פרסמה חברת בדיקות לפלטפורמות קריפטוגרפיות בשם Solidity Finance התנצלות, והודתה כי הפרצה המדוברת היתה אמורה להתגלות ולהיסתם בבחינה שערכה ל-Grim Finance בקיץ האחרון. "בעת ביצוע ההערכה ל-Grim Finance לפני ארבעה חודשים, החברה שלנו חוותה גידול וגיוס מהירים", נכתב בשרשור בחשבון הטוויטר של החברה. "ההערכה בוצעה על ידי אנליסט שהיה חדש בצוות, ובזמן שסמנכ"ל הטכנולוגיה שלנו היה בחופשה; ולמרבה הצער הבעיה לא נתפסה בתהליך ביקורת העמיתים שלנו". היא הוסיפה כי לאחר גילוי הטעות עברה על כל הבדיקות שביצעה מאז ומצאה כי לא פספסה את אותה תקלה באף פלטפורמה אחרת, מה שאומר שהן אמורות להיות בטוחות לשימוש.