Neodyme написала в Twitter о том, что обнаружила и исправила ошибку в контракте о предоставлении токенов в библиотеке программ Solana (SPL). По словам специалистов, эксплойт, обнаруженный пару месяцев назад, угрожал нескольким протоколам DeFi с общим объёмом заблокированных активов (TVL) на сумму $2.6 миллиардa. Уязвимость вызывала ошибку округления, в результате блокировалось больше токенов, чем было внесено пользователями в контракт.
Neodyme считает, что эксплойт можно было использовать только при организованной кибератаке, направленной непосредственно на уязвимость. Аудиторской группе удалось создать и воспроизвести сценарий, который они использовали для устранения ошибки. По словам специалистов, используя эксплойт, злоумышленники могли бы не торопясь выводить токены с платформ DeFi, и это воспринималось бы как медленное истощение APY в некоторых пулах. Neodyme отметила важность использования открытого исходного кода для привлечения помощи аудиторов в исправлении подобных ошибок.
«Мы считаем, что наиболее безопасен открытый исходный код, это один из эффективных способов выявить уязвимости».
Компания по кибербезопасности Neodyme поделилась информацией об ошибке с компаниями, которые используют код из библиотеки. Среди них были протоколы на Solana, которые не имеют кода в открытом доступе и не могут быть напрямую проверены. Специалисты Neodyme связались с командами, стоящими за этими протоколами, и сообщили об уязвимости.
На прошлой неделе децентрализованная биржа dYdX предупредила пользователей об уязвимости смарт-контракта, которую обнаружил «белый хакер». В ноябре валидаторы межсетевого протокола Synapse Bridge предотвратили кражу активов на $8 миллионов. Кибератака была нацелена на мост Synapse Bridge между сетями Polygon и Avalanche. В августе платформа SushiSwap избежала взлома на $365 миллионов благодаря «белому хакеру».
