📣 Prisma Finance обнаружил уязвимость ценой в $11,6 млн
опубликовано 1 апр 2024
Хакерская атака на лендинг-протокол Prisma Finance произошла из-за уязвимости в двух смарт-контрактах MigrateTroveZap, которые позволяли воровать средства из залоговых сумм в займах.
Смарт-контракты MigrateTroveZap нужны для перевода долговых позиций пользователей на новую версию контракта TroveManager. При нормальной процедуре MigrateTroveZap может моментально закрыть старый займ и открыть новый с идентичной суммой долга и залога.
Отправляя на MigrateTroveZap специальные запросы, злоумышленникам удалось заставить контракт закрывать чужие займы и открывать аналогичные, но уже с меньшей суммой залога. Разницу они забирали себе.
В Prisma обнаружили по меньшей мере три аккаунта, участвовавших в атаке. Один из них похитил около 3,257 ETH, два других — 121 и 52 wstETH. В общей сложности было потеряно около $11,6 млн.
Сразу после обнаружения уязвимости команда проекта приостановила работу сети.
Под угрозой до сих пор остается $540 000 на счетах пользователей, которые еще не отозвали соответствующие разрешения.
Больше актуальных новостей
