Як зловмисники вкрали токени на суму близько 1,1 мільйона доларів із децентралізованого музичного проекту Audius

Токени Audius AUDIO на суму близько 1,1 мільйона доларів були викрадені минулих вихідних під час складної атаки, яка включала форуми управління проектом.

Audius, потоковий музичний проект із токенізацією, покладається на голосування спільноти та управління для прийняття рішень. У суботу через зловмисну ​​пропозицію зловмисники розмістили фальшивий пост і маніпулювали жетонними голосами, щоб вкрасти кошти.

Спочатку зловмисники висунули «Пропозицію № 84», згідно з якою 10 трильйонів AUDIO було делеговано внутрішньо для контракту на ставку (без змін у постачанні токенів). Цю трансакцію не вдалося, оскільки за пропозицію не було подано жодного голосу.

Потім зловмисники висунули «Пропозицію №85», яка вимагала передачі 18 мільйонів токенів AUDIO під час голосування за управління. Тоді зловмисники «змогли викликати initialize() і встановити себе єдиним опікуном» цього контракту про управління, пояснили розробники Audius у звіті про розслідування в понеділок.

Функція initialize() надає програмі початкову точку даних у смарт-контракті. Це дозволило зловмиснику контролювати пропозицію управління виключно та передавати маркери, коли пропозиція була прийнята.

Після висунення пропозиції №85 було здійснено транзакцію, яка делегувала 10 трильйонів AUDIO для голосування, таким чином перекручуючи пропозицію на користь зловмисника. Постачання в обігу не вплинуло, але пропозиція була прийнята, оскільки помилкові голоси змогли обдурити розумні контакти Audius. Це дозволило зловмисникам зловмисно перевести 18 мільйонів токенів AUDIO , які зберігаються за контрактом на управління Audius , який називають «скарбницею спільноти», на контрольований гаманець».

Потім викрадені токени були обміняні на понад 700 ефірів (ETH), вартістю близько 1,08 мільйона доларів на момент написання статті, у службі обміну Політика конфіденційності Tornado Cash, показують дані блокчейну гаманця зловмисника –0xa62c3ced6906b188a4d4a3c981b79f2aabf2107f.

Тим часом розробники Audius заявили, що помилка дозволила зловмиснику передати функцію initialize(). «Контракти Audius щодо управління, ставок і делегування в основній мережі Ethereum », — пояснили розробники в посмертному звіті.

«[Ці] були скомпрометовані через помилку в коді ініціалізації контракту, яка дозволяла повторювати виклики функцій ініціалізації», — додали вони.

Команда OpenZeppelin раніше перевірила набір використаних контрактів, але на той час уразливість T була виявлена, повідомили розробники Audius . Усі кошти, що залишилися, у безпеці, і станом на понеділок було запроваджено виправлення.