La plateforme de Finance décentralisée SUI subit une attaque grave, avec des pertes de plus de 200 millions de dollars.
Le 22 mai, une plateforme de fourniture de liquidités dans l'écosystème SUI a été victime d'une attaque de hacker, entraînant d'énormes pertes. Plusieurs paires de trading de cette plateforme ont connu une forte baisse, la profondeur du pool de liquidités a été gravement réduite, et les pertes sont estimées à plus de 230 millions de dollars.
Après l'incident, la plateforme a rapidement publié un communiqué indiquant qu'elle avait suspendu le fonctionnement des contrats intelligents et qu'elle menait une enquête sur l'événement. Parallèlement, plusieurs équipes de sécurité sont également intervenues pour analyser; voici une analyse détaillée des méthodes d'attaque et des flux de fonds.
Analyse des attaques
Le cœur de cette attaque réside dans le fait que des hackers ont exploité une vulnérabilité mathématique dans le système en utilisant des paramètres soigneusement construits, échappant à une énorme quantité d'actifs de liquidité avec une très petite quantité de jetons. Les étapes spécifiques sont les suivantes :
Les hackers ont d'abord emprunté une grande quantité de jetons haSUI via un prêt éclair, entraînant une chute de 99,90 % du prix des paires de trading concernées.
Ensuite, ouvrez une position de liquidité dans une fourchette de prix très étroite.
L'étape clé de l'attaque consiste à déclarer l'ajout d'une énorme liquidité, mais en réalité, ne fournir qu'un seul jeton. Cela exploite la vulnérabilité de détection de débordement dans la fonction get_delta_a du système.
Lorsque le système calcule le nombre de haSUI requis, une sous-estimation grave du nombre réel requis se produit en raison d'un débordement qui n'a pas été correctement détecté.
Enfin, le hacker a retiré la liquidité pour obtenir une grande quantité de jetons et a remboursé le prêt éclair, complétant ainsi l'attaque.
Analyse des flux de fonds
Selon le suivi, les hackers ont réalisé un profit d'environ 230 millions de dollars, comprenant divers actifs tels que SUI, vSUI, USDC, etc. Après l'attaque, les hackers ont transféré une partie des actifs via des ponts inter-chaînes vers plusieurs chaînes, y compris Ethereum.
Il est à noter qu'avec l'aide d'institutions telles que la fondation SUI, environ 162 millions de dollars de fonds volés ont été avec succès gelés.
Sur la chaîne Ethereum, les hackers échangent les USDT, USDC et SOL obtenus contre des ETH via des plateformes décentralisées. Parmi eux, 20 000 ETH ont été transférés vers une nouvelle adresse, et il n'y a pas encore eu d'autres mouvements.
État de la réparation
La plateforme a publié un correctif pour réparer la vulnérabilité qui a conduit à cette attaque. La réparation concerne principalement la fonction checked_shlw, ajustant les conditions et les seuils de détection des débordements pour garantir que les grands nombres déplacés vers la gauche peuvent détecter correctement les cas de débordement.
Cet événement met à nouveau en évidence l'importance de la sécurité des calculs mathématiques dans les protocoles de Finance décentralisée. Les développeurs doivent faire particulièrement attention à valider toutes les conditions limites des fonctions mathématiques, afin de prévenir des attaques mathématiques précises similaires.
This page may contain third-party content, which is provided for information purposes only (not representations/warranties) and should not be considered as an endorsement of its views by Gate, nor as financial or professional advice. See Disclaimer for details.
8 J'aime
Récompense
8
4
Partager
Commentaire
0/400
Web3ProductManager
· Il y a 11h
La sécurité de la plateforme est un indicateur clé
La plateforme écologique SUI a été attaquée par des hackers, avec des pertes dépassant 200 millions de dollars. 1,62 million a été gelé.
La plateforme de Finance décentralisée SUI subit une attaque grave, avec des pertes de plus de 200 millions de dollars.
Le 22 mai, une plateforme de fourniture de liquidités dans l'écosystème SUI a été victime d'une attaque de hacker, entraînant d'énormes pertes. Plusieurs paires de trading de cette plateforme ont connu une forte baisse, la profondeur du pool de liquidités a été gravement réduite, et les pertes sont estimées à plus de 230 millions de dollars.
Après l'incident, la plateforme a rapidement publié un communiqué indiquant qu'elle avait suspendu le fonctionnement des contrats intelligents et qu'elle menait une enquête sur l'événement. Parallèlement, plusieurs équipes de sécurité sont également intervenues pour analyser; voici une analyse détaillée des méthodes d'attaque et des flux de fonds.
Analyse des attaques
Le cœur de cette attaque réside dans le fait que des hackers ont exploité une vulnérabilité mathématique dans le système en utilisant des paramètres soigneusement construits, échappant à une énorme quantité d'actifs de liquidité avec une très petite quantité de jetons. Les étapes spécifiques sont les suivantes :
Les hackers ont d'abord emprunté une grande quantité de jetons haSUI via un prêt éclair, entraînant une chute de 99,90 % du prix des paires de trading concernées.
Ensuite, ouvrez une position de liquidité dans une fourchette de prix très étroite.
L'étape clé de l'attaque consiste à déclarer l'ajout d'une énorme liquidité, mais en réalité, ne fournir qu'un seul jeton. Cela exploite la vulnérabilité de détection de débordement dans la fonction get_delta_a du système.
Lorsque le système calcule le nombre de haSUI requis, une sous-estimation grave du nombre réel requis se produit en raison d'un débordement qui n'a pas été correctement détecté.
Enfin, le hacker a retiré la liquidité pour obtenir une grande quantité de jetons et a remboursé le prêt éclair, complétant ainsi l'attaque.
Analyse des flux de fonds
Selon le suivi, les hackers ont réalisé un profit d'environ 230 millions de dollars, comprenant divers actifs tels que SUI, vSUI, USDC, etc. Après l'attaque, les hackers ont transféré une partie des actifs via des ponts inter-chaînes vers plusieurs chaînes, y compris Ethereum.
Il est à noter qu'avec l'aide d'institutions telles que la fondation SUI, environ 162 millions de dollars de fonds volés ont été avec succès gelés.
Sur la chaîne Ethereum, les hackers échangent les USDT, USDC et SOL obtenus contre des ETH via des plateformes décentralisées. Parmi eux, 20 000 ETH ont été transférés vers une nouvelle adresse, et il n'y a pas encore eu d'autres mouvements.
État de la réparation
La plateforme a publié un correctif pour réparer la vulnérabilité qui a conduit à cette attaque. La réparation concerne principalement la fonction checked_shlw, ajustant les conditions et les seuils de détection des débordements pour garantir que les grands nombres déplacés vers la gauche peuvent détecter correctement les cas de débordement.
Cet événement met à nouveau en évidence l'importance de la sécurité des calculs mathématiques dans les protocoles de Finance décentralisée. Les développeurs doivent faire particulièrement attention à valider toutes les conditions limites des fonctions mathématiques, afin de prévenir des attaques mathématiques précises similaires.