โปรโตคอล Onyx ถูกแฮ็กอีกครั้งด้วยมูลค่า 3.8 ล้านเหรียญสหรัฐ ผ่านการใช้ประโยชน์จากอัตราแลกเปลี่ยน

แพลตฟอร์มการให้ยืมและการยืมของ Onyx ถูกนำไปใช้ประโยชน์ในราคา 3.8 ล้านเหรียญสหรัฐ Hacken ซึ่งเป็นศูนย์กลางการตรวจสอบความปลอดภัย วิเคราะห์กิจกรรมที่ผิดปกติบนแพลตฟอร์มและประเมินลักษณะของการโจมตี

Onyx Protocol ได้รับผลกระทบจากช่องโหว่ ทำให้สูญเสียเงินไป 3.8 ล้านเหรียญสหรัฐ การโจมตีดังกล่าวเกิดขึ้นได้ผ่านทางระบบ trac ที่เป็นอันตรายซึ่งสร้างขึ้นโดยเฉพาะ ซึ่งใช้งานเพียงไม่กี่นาทีก่อนจะโทรหา Onyx แฮกเกอร์สามารถระบาย Virtual USD (VUSD) ซึ่งเป็นเหรียญเสถียรดั้งเดิมของโปรโตคอลได้ นี่เป็นการแฮ็กครั้งที่สองของ Onyx ตั้งแต่วันที่ 3 พฤศจิกายน 2023 เมื่อ TVL ของโปรเจ็กต์ขัดข้องเช่นกัน การหาประโยชน์ดังกล่าวนำไปสู่การโจมตีทางโซเชียลมีเดียเพิ่มเติม โดยมีลิงก์ปลอมที่อ้างว่าปกป้องทรัพย์สิน แนวทางที่ดีที่สุดคือการโต้ตอบกับโซเชียลมีเดียอย่างเป็นทางการของ Onyx Protocol เท่านั้น

Onyx ประกาศว่า VUSD เองไม่ได้รับผลกระทบ และจะยังคงใช้งานได้ต่อไป อย่างไรก็ตาม การใช้ประโยชน์ดังกล่าวจบลงด้วยการทำลายหมุดของ Stablecoin แม้ว่าจะมีหลักประกันเพิ่มเติมก็ตาม VUSD ร่วงลงสู่ระดับต่ำสุดที่ 0.39 ดอลลาร์ และไม่สามารถฟื้นระดับที่ 1 ดอลลาร์ได้ในทันที

แม้ว่าผลรวมสุดท้ายที่แฮ็กเกอร์จัดการเพื่อถอนออกจะมีน้อย แต่การสูญเสียของโปรโตคอลอาจลึกกว่านั้น โทเค็น VUSD มีอุปทานหมุนเวียนเล็กน้อยเหนือ$51M แต่มูลค่าตลาดปัจจุบันอยู่ที่ $19M

Onyx ต้องเผชิญกับการใช้ประโยชน์จากอัตราแลกเปลี่ยนอย่างแม่นยำ

สาเหตุหนึ่งของการใช้ประโยชน์จาก Onyx คือความพร้อมของพูลที่มีสภาพคล่องต่ำ การวิเคราะห์โดย Hacken ประเมินว่าการหาประโยชน์ดังกล่าวเกิดจากการคำนวณอัตราแลกเปลี่ยนผิดพลาด เมื่อมีสภาพคล่องต่ำในบางคู่ แฮกเกอร์ได้เตรียม trac อัจฉริยะเพื่อแลกเปลี่ยน WETH เป็น Onyx ETH (oETH)

เริ่มต้นด้วยเงินกู้ 2,000 WETH จาก Balancer แฮกเกอร์ได้ย้ายผ่านสินทรัพย์ crypto หลายแห่ง ในเวลาเดียวกัน trac ทางที่เป็นอันตรายส่งสแปม Onyx ด้วยชุดธุรกรรม ETH ที่มีมูลค่าต่ำ ผลลัพธ์ของการแลกเปลี่ยนและการโอนพูลทำให้แฮกเกอร์ได้รับเงิน 3.8M VUSD ซึ่งมีมูลค่าตามที่ระบุอยู่ที่ 3.8M

ธุรกรรมสุดท้ายสามารถถอนออกได้ 300,000 VUSD ซึ่งได้รับการแลกเป็น ETH โดยใช้การแยกการซื้อขายตามโปรโตคอล CoW ธุรกรรมดังกล่าวทำให้เกิดความคลาดเคลื่อนและราคา VUSD ต่ำกว่าที่ระบุ $1 ดังนั้นหนึ่งในธุรกรรมขาออกคือ $ 191K

สินทรัพย์อื่นๆ จาก Onyx ก็ได้รับผลกระทบเช่นกัน

การโจมตีต่อเนื่องกับกลุ่ม Onyx ส่งผลกระทบต่อสินทรัพย์หลายรายการ Peckshield dent การโอน 4.1m VUSD, 7.35m Onyxcoin (XCN), 5k DAI, 0.23 WBTC, 50k USDT การโอนทั้งหมดเกิดขึ้นในธุรกรรมเดียว ซึ่งดำเนินการโดย trac อัจฉริยะที่เป็นอันตราย

Onyx เป็นฮาร์ดฟอร์คแบบ Compound V2 ซึ่งมีข้อบกพร่องทั้งหมดของโปรโตคอล Onyx เคยถูกแฮ็กมาก่อนในลักษณะเดียวกัน โดยใช้ประโยชน์จากการคำนวณมูลค่าและอัตราแลกเปลี่ยนของคู่ที่มีสภาพคล่องต่ำ

Sonne Protocol ถูกนำไปใช้ประโยชน์ในเดือนพฤษภาคม อีกครั้งเนื่องจากข้อบกพร่องที่ทราบใน Compound V2 ซึ่งส่งผลกระทบต่อโปรเจ็กต์ที่ถูกแยกทั้งหมดและยังไม่ได้รับการซ่อมแซม ข้อบกพร่องนี้จะเกิดขึ้นทุกครั้งที่โปรโตคอลเริ่มต้นตลาดใหม่ที่ไม่มีเงินทุน การเปิดตัวคู่ใหม่ในพื้นที่ DeFi แบบไดนามิกได้เพิ่มปัญหาและนำไปสู่การแฮ็กหลายครั้ง

เนื่องจากการคำนวณผิด แฮกเกอร์สามารถเรียก trac อัจฉริยะของโปรโตคอล และรับเงินกู้ที่ใหญ่กว่ามากเพื่อแลกกับหลักประกันที่ไม่มีนัยสำคัญ

การโจมตี Onyx ในปัจจุบันมีโครงสร้างคล้ายกับแฮ็ก Sonne Protocol โดยถอนโทเค็นจำนวนมากอีกครั้งเพื่อให้มีหลักประกันน้อยที่สุด ธุรกรรมสแปมจำนวน 56 รายการถูกตัดออกไปด้วยอัตราแลกเปลี่ยนของ Onyx ทำให้แฮกเกอร์สามารถถอนเงินทั้งหมดเพื่อเป็นหลักประกันเล็กๆ น้อยๆ ได้อีกครั้ง

จนถึงขณะนี้ยังไม่มี NFT ที่ได้รับผลกระทบ Onyx Protocol โฮสต์ Bored Ape (BAYC) และ Mutated Ape (MAYC) NFT เพื่อรับรายได้เชิงรับต่อปีสูงถึง 37% PeckShield ยังตรวจพบข้อบกพร่องใน สัญญา NFT ของโครงการ แม้ว่าสิ่งนี้จะไม่ได้นำไปสู่การหาประโยชน์เพิ่มเติมก็ตาม

การโจมตีอาจเป็นผลงานของพนักงานอันธพาล

การโจมตีโปรโตคอล Onyx มีขนาดค่อนข้างเล็ก แม้ว่าจะเปรียบเทียบกับการโจมตีกระเป๋าสตางค์ส่วนบุคคลก็ตาม ผลกระทบต่อมูลค่าของ VUSD และสินทรัพย์อื่นๆ อาจจะมากกว่า แต่การโจมตีอาจเปิดโปงภัยคุกคามร้ายแรงต่อโครงการ crypto – พนักงานโกง

การใช้ประโยชน์จากโปรโตคอล Onyx อาจเกิดจากการที่ แฮกเกอร์ชาวเกาหลีเหนือ สวมรอยเป็นผู้พัฒนาโครงการ นักวิจัยอ้างว่าพวกเขาได้ติดต่อกับทีม Onyx พร้อมหลักฐานที่อาจเกี่ยวข้องกับแฮกเกอร์ DRPK

ในทางกลับกัน ช่องโหว่ของ Compound V2 เป็นที่ทราบกันดีอยู่แล้ว และอาจไม่จำเป็นต้องมีความรู้ภายในเพื่อใช้ประโยชน์

รายงาน Cryptopolitan โดย Hristina Vasileva