Als er één ding is dat we weten, is het dat geen enkele DeFi-protocol of -platform 100% veilig is.
Op 9 juli werd de @GMX_IO Exchange V1 gehackt voor $42M.
Hier is onze analyse hieronder van @Blackthornxyz’s Lead Security Partner @panprog (inclusief een cruciale les voor de ontwikkeling van smart contracts) 👇🔎
De oorzaak van de exploit was een re-entrancy kwetsbaarheid in de GMX smart contracts, specifiek binnen PositionManager.executeDecreaseOrder.
De Aanval ⚔️:
Vanuit OrderBook.executeDecreaseOrder werd de winst (in ETH) direct naar de gebruiker gestuurd. Dit activeerde de receive() functie van het ontvangende contract voordat timelock.disableLeverage() werd aangeroepen.
Die functie is bedoeld om directe Vault-aanroepen te voorkomen door leverage uit te schakelen, maar vanwege de vertraagde aanroep kon de aanvaller deze omzeilen.
Binnen deze re-entrancy context heeft de aanvaller de Vault rechtstreeks aangeroepen om shortposities te manipuleren. Een cruciale regel in PositionManager - verantwoordelijk voor het bijwerken van ShortsTracker.globalShortAveragePrices - werd overgeslagen.
Als gevolg hiervan kon de aanvaller Vault.globalShortSizes kunstmatig verhogen zonder de gemiddelde shortprijs bij te werken, wat leidde tot onjuiste AUM-berekeningen en de GLP-prijs opblies.
De diefstal van $42M aan fondsen💰:
De aanvaller kocht eerst GLP voor een lagere prijs, verhoogde het vervolgens met re-entrancy loops, en verkocht de GLP terug aan de Vault tegen een verhoogde prijs. Dit heeft bijna alle tokens in de Vault leeggehaald. Totale opbrengst: $42M in ETH, BTC, USDC, en meer.
De nasleep?
1) GMX heeft alle handel, minting en inwisseling voor GLP op Arbitrum en Avalanche stopgezet.
2) GMX V2 en andere protocolcomponenten waren niet getroffen.
3) De aanvaller kreeg een white-hat beloning van 10% aangeboden (ongeveer $4,2 miljoen) als de fondsen binnen 48 uur werden teruggegeven.
Op het moment van het schrijven van deze post, is de hacker begonnen met het teruggeven van fondsen aan het GMX-team na het onderhandelen over een uitbetaling 🙌. Als beveiligingspartners van GMX, beginnend met hun V2, hebben we geholpen met deze situatie en zijn we blij dit te horen. We kijken ernaar uit om in de toekomst verder samen te werken met GMX.
De Lessen 🎓:
✅ Zorg ervoor dat er geen herinvoer mogelijk is, zelfs als het onschuldig lijkt - Aanvankelijk stond GMX v1 gebruikers directe interactie met de Vault toe... Hierdoor leek de mogelijkheid om direct met de Vault te interageren voor velen niet gevaarlijk.
✅ Zorg ervoor dat er sanity checks zijn voor snelle waardeveranderingen, zoals token- of aandelenprijzen: keer de uitvoering terug als de prijs van een activum (zoals GLP in dit geval) binnen een korte tijdspanne meer dan een bepaald percentage verandert.
✅ Zorg ervoor dat er strikte off-chain monitoring is voor verdachte patronen, mogelijk automatisch het handelen stopzetten in extreme situaties. Bijvoorbeeld, als de GLP-prijs op enig moment buiten een vooraf gedefinieerd bereik valt, stop dan onmiddellijk de operaties om te onderzoeken.
Bekijk onze blog voor het volledige rapport 👇
4,98K
39
De inhoud op deze pagina wordt geleverd door derden. Tenzij anders vermeld, is OKX niet de auteur van het (de) geciteerde artikel(en) en claimt geen auteursrecht op de materialen. De inhoud is alleen bedoeld voor informatieve doeleinden en vertegenwoordigt niet de standpunten van OKX. Het is niet bedoeld als een goedkeuring van welke aard dan ook en mag niet worden beschouwd als beleggingsadvies of een uitnodiging tot het kopen of verkopen van digitale bezittingen. Voor zover generatieve AI wordt gebruikt om samenvattingen of andere informatie te verstrekken, kan deze door AI gegenereerde inhoud onnauwkeurig of inconsistent zijn. Lees het gelinkte artikel voor meer details en informatie. OKX is niet verantwoordelijk voor inhoud gehost op sites van een derde partij. Het bezitten van digitale activa, waaronder stablecoins en NFT's, brengt een hoge mate van risico met zich mee en de waarde van deze activa kan sterk fluctueren. Overweeg zorgvuldig of de handel in of het bezit van digitale activa geschikt voor je is in het licht van je financiële situatie.