Il protocollo LI.FI della piattaforma finanziaria decentralizzata (DeFi) ha subito un exploit per oltre 8 milioni di dollari.
Cyvers Alerts ha segnalato il rilevamento di transazioni sospette all'interno dell'aggregatore di transazioni cross-chain LI.FI.
LI.FI lancia un avvertimento dopo un exploit da 8 milioni di dollari
LI.FI ha confermato la violazione in una dichiarazione il 16 luglio tramite X: “Per favore, non interagire con nessuna applicazione basata su http://LI.FI per ora! Stiamo indagando su un potenziale exploit." Il team ha chiarito che gli utenti che non hanno impostato approvazioni infinite non sono a rischio, sottolineando che sembrano essere colpiti solo coloro che impostano manualmente approvazioni infinite.
Per il momento non interagire con alcuna applicazione basata su https://t.co/nlZEnqOyQz !
Stiamo indagando su un potenziale exploit. Se non hai impostato un'approvazione infinita, non sei a rischio.
Sembra che siano interessati solo gli utenti che hanno impostato manualmente approvazioni infinite.
Revoca tutto…
— LI.FI (@lifiprotocol) 16 luglio 2024
Secondo Cyvers Alerts, sono stati rubati più di 8 milioni di dollari in fondi degli utenti, la maggior parte dei quali erano stablecoin. Secondo i dati on-chain, il portafoglio dell'hacker contiene 1.715 Ether (ETH) per un valore di 5,8 milioni di dollari e stablecoin USDC, USDT e DAI.
METTERE IN GUARDIA
Consigliamo agli utenti di revocare le proprie approvazioni per: 0x1231deb6f5749ef6ce6943a275a1d3e7486f4eae
Finora sono stati drenati più di 8 milioni di dollari dagli utenti e principalmente dalle stablecoin!… pic.twitter.com/zsj9DZWnpU
—
Cyvers Alerts ha consigliato agli utenti di revocare immediatamente le relative autorizzazioni, sottolineando che l'aggressore sta attivamente convertendo USDC e USDT in ETH.
La società di sicurezza crittografica Decurity ha fornito informazioni dettagliate sull'exploit, affermando che coinvolge il bridge LI.FI. "La causa principale è la possibilità di una chiamata arbitraria con dati controllati dall'utente tramite depositToGasZipERC20() in GasZipFacet, che è stato implementato 5 giorni fa", ha spiegato Decurity su X.
“In generale, i rischi dietro i router, gli scambi incrociati, ecc. riguardano l’approvazione dei token. Gli asset nativi grezzi come l'ETH (non imballato) sono al sicuro da questo tipo di hack perché non hanno approvazioni come opzione. Inoltre, la maggior parte degli utenti e dei portafogli non effettua più "approvazioni infinite", il che conferisce a un contratto intelligente il controllo totale sulla rimozione di qualsiasi quantità dei propri token. È importante capire quali token stai approvando e quali contratti.
Questa dashboard cerca tutte le transazioni di un utente che interseca Lifi. Non tutte queste transazioni indicano rischi, ma puoi vedere come, in generale, integrazioni e livelli di tecnologia (come il modo in cui il bridge Metamask utilizza Lifi su BSC) possono complicare il modo in cui gli utenti mettono o non mettono a rischio le proprie risorse. Revoke Cash è l'app di gestione delle approvazioni più conosciuta.
Ma è anche una buona pratica di sicurezza ruotare semplicemente il tuo indirizzo. I nuovi indirizzi iniziano con 0 approvazioni, quindi iniziare da capo spostando i token su un nuovo indirizzo è un'altra buona pratica di sicurezza." – ha commentato Carlos Mercado, Data Scientist di Flipside Crypto.
Mirror di exploit recenti Attacco di marzo 2022
Un'ulteriore analisi dell'avviso PeckShield ha rivelato che la vulnerabilità è simile a un precedente attacco al protocollo LI.FI avvenuto il 20 marzo 2022. Quell'incidente ha visto un malintenzionato sfruttare il contratto intelligente di LI.FI, in particolare la funzionalità di scambio, prima di creare un ponte.
L'aggressore ha manipolato il sistema per chiamare contratti token direttamente nel contesto del contratto, rendendo vulnerabili gli utenti che avevano dato un'approvazione infinita. Questo exploit ha comportato il furto di circa 205 ETH da 29 portafogli, colpendo token come USDC, MATIC, RPL, GNO, USDT, MVI, AUDIO, AAVE, JRT e DAI.
“Il bug è sostanzialmente lo stesso. Stiamo imparando qualcosa dalle lezioni passate? PeckShield Alert ha dichiarato in un post X del 16 luglio.
In seguito all’incidente del 2022, LI.FI ha disabilitato tutti i metodi di scambio nel suo contratto intelligente e ha lavorato allo sviluppo di una soluzione per prevenire future vulnerabilità. Tuttavia, il ripetersi di un exploit simile solleva preoccupazioni sulle misure di sicurezza della piattaforma e sull’eventuale adozione di misure adeguate per affrontare le vulnerabilità identificate nella violazione precedente.
LI.FI è un protocollo di aggregazione di liquidità che consente agli utenti di fare trading su varie blockchain, sedi e bridge.
Il post Piattaforma DeFi LI.FI sfruttata, oltre 8 milioni di dollari persi in un attacco è apparso per la prima volta su CryptoPotato .