Согласно записи в Twitter технического директора SushiSwap Джозеф Делонга (Joseph Delong), хакер использовал уязвимость на платформе MISO во время аукциона по продаже невзаимозаменяемых токенов (NFT) и вывел 864.8 ETH стоимостью около $3 млн.
Делонг заявил, что анонимный подрядчик, использующий псевдоним AristoK3 на Github, внедрил вредоносный код во внешний интерфейс MISO. Он добавил ссылку на адрес Эфириума, на который 16 сентября во второй половине дня были переведены 864.8 ETH. Etherscan пометил адрес как «связанный со взломом».
Подобные атаки заключаются в том, что злоумышленник меняет адрес контракта на тот, который находится под его контролем. По данным Национального центра контрразведки и безопасности США, этот тип атаки актуален для библиотек программного обеспечения с открытым исходным кодом.
По словам Делонга, для продажи NFT JayPegsAutoMart использовался только один контракт. Злоумышленник, который работал с протоколом DeFi Yearn.finance, заменил адрес кошелька аукциона на свой. Разработчики SushiSwap полагают, что взлом совершил разработчик блокчейна и мобильных игр eratos1122, которому принадлежит соответствующий аккаунт в Twitter.
SushiSwap обратилась к биржам FTX и Binance с запросом на получение информации о хакере, хранящейся на площадках в рамках процедуры KYC. Делонг заявил, что, если злоумышленник не вернет деньги сегодня, то биржа подаст жалобу в ФБР.
Напомним, что ранее на платформе MISO уже были выявлены уязвимости. В августе SushiSwap избежала взлома на $365 млн благодаря «белому хакеру».
