Wise Lending mất 177 ETH trong một vụ tấn công flash loan

Wise Lending, một công cụ tổng hợp lợi suất và ứng dụng cho vay Web3, là nạn nhân mới nhất của một vụ exploit và được cho là trường hợp đầu tiên vào năm 2024 sau khi kẻ xấu thực hiện một cuộc tấn công flash loan (cho vay nhanh).

Wise Lending mất 177 ETH

Wise Lending đã bị đánh cắp 177 ETH, trị giá khoảng 464.000 USD theo tỷ giá hiện tại. Theo công ty bảo mật blockchain và công ty phân tích dữ liệu PeckShield, logic kế toán cổ phiếu của công cụ tổng hợp này đã có sai sót với vấn đề chính xác làm cạn kiệt quỹ thị trường.

Cụ thể, kẻ xấu đã lợi dụng một cuộc tấn công flash loan, một cơ chế thường được sử dụng để thao túng giá oracle.

Kẻ này đã lợi dụng một thị trường gần như trống rỗng để thổi phồng giá cổ phiếu. Sau khi giá cổ phiếu tăng cao, hầu hết vốn trên thị trường cho vay khi đó đều đã được vay.

Chi tiết cuộc tấn công

Kẻ tấn công đã sử dụng một hợp đồng chưa được xác minh có địa chỉ kết thúc bằng ”…d82c” để thực hiện exploit, chuyển nhiều token vào hợp đồng, trên Etherscan cho thấy. Trong số chiến lợi phẩm có được USDC trị giá 9.000 đô la, USDT trị giá 2.000 đô la, DAI trị giá 5.000 đô la, 18,51 WETH trị giá 47,694 đô la và nhiều tokenkhác liên quan đến Pendle Finance.

Kẻ xấu đã vay 1.110 token Lido Staked Ether (stETH) trị giá khoảng 2,9 triệu USD từ giao thức cho vay Aave như một phần của hoạt động tấn công khai thác.

Vụ việc được báo cáo đầu tiên bởi @spreekaway, cho biết “Có vẻ như Wise Lending đã bị exploit ~170 ETH,” với cuộc tấn công diễn ra lúc 7:29 tối UTC ngày 12 tháng 1 (tức 2:29 ngày 13 tháng 1 theo giờ Việt Nam). Theo Spreek, thủ phạm có lẽ là token phái sinh Pendle mới được triển khai.

Tuy nhiên, một nhà nghiên cứu mối đe dọa, @officer_cia, trên X, rằng cuộc tấn công có thể xảy ra do sự dao động giá 7% giữa stETH và ETH trong một pool cụ thể. Theo ý kiến ​​​​của họ, điều này là kết quả của flash loan AAVE v2 stETH.

• Platypus Finance bị tấn công flash loan, thiệt hại 2 triệu đô la