Хакер украл лишь $60K из $50 млн из-за проскальзывания

Злоумышленник нашел уязвимость в Cosmos EVM и выпустил токены Nesa (NES) на $50 млн. Но заработал только $60 000.

Аналитики блокчейн-компании Bubblemaps отследили все кошельки, через которые прошли деньги. Ликвидность в пулах закончилась раньше, чем хакер успел все продать. Проскальзывание оказалось таким сильным, что от суммы почти ничего не осталось.

С главного кошелька 0x9AE7 злоумышленник купил NES на $250 000 и перевел токены в Nesa Chain. В Bubblemaps сообщили, что деньги на этот адрес пришли через Monero (XMR) — анонимную криптовалюту, которую выбирают bp-pf приватности.

Затем злоумышленник использовал баг и увеличил баланс в 200 раз. Около $50 млн в NES он отправил назад в сеть Ethereum (ETH). Токены прошли через восемь адресов. С каждого из них NES обменивали на ETH на децентрализованных биржах, а вырученные средства уходили на централизованные площадки.

Ликвидность в пулах закончилась раньше, чем ушла основная часть токенов. Проскальзывание уничтожило почти весь объем: злоумышленник получил $315 000 при затратах в $255 000.

В Cosmos Labs раскрыли детали инцидента и рекомендовали всем связанным сетям остановить валидацию блоков.

«Многие затронутые цепочки уже исправили проблему. Мы продолжаем предоставлять информацию по устранению уязвимости. Для цепочек, использующих Cosmos EVM версий ниже v0.6.2 или v0.7.2, рекомендуется немедленно остановить сеть и обновить ее с учетом патчей этих релизов», — заявлено в сообщении команды.