Слив года: уязвимость Vyper стала инструментом массового оттока криптовалюты

За прошедшие выходные несколько криптовалютных платформ подверглись массовому взлому, в результате которого были похищены миллионы долларов. Хакеры использовали уязвимость в одном из самых популярных языков программирования Web3, Vyper, который активно используется для создания смарт-контрактов.

Разработчики Vyper предупредили о потенциальной уязвимости версий 0.2.15, 0.2.16 и 0.3.0, из-за которой хакеры манипулируют смарт-контрактами и переводят их в заявку о списании средств со счета.

В понедельник децентрализованная финансовая (DeFi) платформа Curve Finance сообщила о потере $61 млн в криптовалюте из-за обнаруженной уязвимости . Некоторые белые хакеры уже смогли вернуть часть похищенных средств, однако платформа активно пытается установить контакт с злоумышленниками, в надежде вернуть украденную криптовалюту. Также были скомпрометированы несколько токенов ERC-20, выпущенных на Alchemix (alETH), Metronome Synth (smETH) и JPEG’d (pETH).

В связи с разнообразием оценок ущерба от различных компаний, специализирующихся на безопасности блокчейна, точные потери остаются неизвестными.

Один из разработчиков Vyper, известный под ником «fubuloubu», заявил, что взлом был высококвалифицированным и неожиданным. По словам разработчика, для того чтобы найти и использовать эту уязвимость, потребовалось от нескольких недель до месяцев. По всей видимости, взлом был хорошо скоординирован и, возможно, осуществлен маленькой группой. Учитывая объем вложенных ресурсов, есть основания полагать, что в деле могут быть задействованы правительственные хакеры.