การแจ้งเตือนการแฮ็ก DeFi: Aperture Finance ถูกโจมตีสัญญาอัจฉริยะสูญเสีย $3.67M

โพสต์ การแจ้งเตือนการแฮก DeFi: Aperture Finance สัญญาอัจฉริยะถูกโจมตีสูญเสีย $3.67 ล้าน ปรากฏครั้งแรกใน Coinpedia Fintech News

แพลตฟอร์ม DeFi Aperture Finance ประสบปัญหาการละเมิดความปลอดภัยครั้งใหญ่ สูญเสียประมาณ $3.67 ล้านจากการโจมตีสัญญาอัจฉริยะ บริษัทรักษาความปลอดภัยบลอกเชน PeckShieldAlert แสดงให้เห็นว่าแฮกเกอร์กำลังโอนเงินที่ถูกขโมยผ่าน Tornado Cash ซึ่งเป็นบริการผสมผสานเพื่อความเป็นส่วนตัว 

กิจกรรมนี้ได้ก่อให้เกิดความกังวลใหม่เกี่ยวกับการกู้คืนเงินทุนและวิธีการแฮกที่เกิดขึ้นจริง

การโจมตี Aperture Finance เกิดขึ้นอย่างไร

ตามข้อมูลจาก PeckShieldAlert การแฮก Aperture Finance เกิดขึ้นเมื่อวันที่ 25 มกราคม 2569 เนื่องจากช่องโหว่ในสัญญาอัจฉริยะ V3 และ V4 รวมกับการอนุมัติโทเค็นของผู้ใช้ที่มีอยู่
ในแพลตฟอร์ม DeFi ผู้ใช้มักอนุญาตให้สัญญาย้ายโทเค็น ERC-20 หรือ NFT ตำแหน่งสภาพคล่องของพวกเขา เพื่อให้การซื้อขายและกลยุทธ์สามารถทำงานโดยอัตโนมัติ แต่ในกรณีนี้ ผู้โจมตีพบช่องโหว่ในวิธีที่สัญญาจัดการกับการอนุญาตและการเรียกใช้ฟังก์ชันเหล่านั้น

แทนที่จะทำลายกระเป๋าเงินหรือขโมยกุญแจส่วนตัว ผู้โจมตีใช้ตรรกะของสัญญาเองเพื่อกระตุ้นการโอนสินทรัพย์โดยไม่ได้รับอนุญาต

เนื่องจากผู้ใช้จำนวนมากได้อนุมัติไว้แล้ว ผู้โจมตีสามารถย้ายเงินทุนได้โดยไม่ต้องการลายเซ็นใหม่ สิ่งนี้ทำให้พวกเขาสามารถดูดสินทรัพย์ที่เชื่อมโยงกับโทเค็นที่ได้รับอนุมัติและตำแหน่งสภาพคล่อง

เงินทุนถูกย้ายไปยัง Tornado Cash หลังการแฮก

และทั้งหมดนี้นำไปสู่การดึงมูลค่า $3.67 ล้าน ผู้โจมตีแปลงส่วนใหญ่เป็น ETH และส่งประมาณ 1,242 ETH ไปยัง Tornado Cash เพื่อซ่อนร่องรอย

ผู้โจมตีมักใช้บริการผสมผสานเช่น Tornado Cash เพื่อซ่อนที่มาของคริปโตที่ถูกขโมยและทำให้การติดตามยากขึ้น เงินทุนถูกส่งในธุรกรรมเล็ก ๆ หลายรายการ รวมถึงกลุ่มของ 10 ETH และ 100 ETH ซึ่งเป็นวิธีที่ใช้กันทั่วไปเพื่อหลีกเลี่ยงความสนใจ

ผู้ใช้ถูกขอให้เพิกถอนการอนุมัติโทเค็นและ NFT

หลังจากการโจมตี ทีม Aperture Finance ออกประกาศฉุกเฉินและแชร์รายการที่อยู่สัญญาที่ได้รับผลกระทบ และยังเตือนผู้ใช้ให้เพิกถอนทั้งการอนุมัติโทเค็น ERC-20 และการอนุมัติตำแหน่งสภาพคล่อง ERC-721 ที่เชื่อมโยงกับที่อยู่ที่เสี่ยงอย่างเร่งด่วน 

การอนุมัติกระเป๋าเงินอนุญาตให้สัญญาอัจฉริยะย้ายเงินทุนของผู้ใช้ และหากยังคงใช้งานอยู่ อาจถูกใช้ในทางที่ผิดหลังจากสัญญาถูกบุกรุก