Хакеры нанесли серьезный удар по пулу вознаграждений NovaBox

Неизвестные злоумышленники совершили атаку на пул вознаграждений платформы NovaBox, работающей на блокчейне Эфириум, и почти полностью его опустошили. Потери в результате инцидента составили около 56,73 ETH, что затронуло более 130 пользователей, имеющих депозиты на платформе, как выяснили специалисты по блокчейн-безопасности из компании F12.

По данным F12, пул был истощен на 99,86% — с 65,11 ETH до 0,09 ETH — всего лишь за одну транзакцию. Эксперты отмечают, что причиной утечки средств не стала уязвимость самого смарт-контракта, а недостатки в механизме распределения вознаграждений на платформе.

Согласно версии аналитиков, хакеры воспользовались флэш-кредитом в размере 427,5 WETH, взятым через протокол Aave V3. После этого они использовали особенности расчета дивидендных выплат на NovaBox при внесении и выводе средств. Система функционирует таким образом, что дивиденды выплачиваются до обновления баланса доли клиента, что создает расхождение между зарегистрированными итогами пула и фактическим положением пользователя.

Злоумышленники внесли небольшую сумму в токенах NOVA, что запустило процесс расчета дивидендов. Сразу после этого они перевели крупную сумму в эфирах в тот же протокол. В результате реальная доля хакеров в пуле вознаграждений резко возросла, однако NovaBox не успел обновить баланс их доли с учетом нового крупного депозита. Дивиденды были рассчитаны по старым данным, когда доля была значительно меньше, но выплата была применена к новому, увеличенному размеру доли.

Эта уязвимость фактически создала “фантомный дивиденд” объемом около 145,82 ETH, что позволило злоумышленникам вывести средства из пула вознаграждений, как сообщает F12. С начала 2023 года хакеры уже похитили около 36,7 миллионов долларов из пяти крупных протоколов децентрализованных финансов (DeFi). Основной причиной таких атак стали уязвимости смарт-контрактов, исходный код которых не проходил публичную проверку, по информации аналитиков компании Chainalysis.