polynetwork logo

Крупнейший взлом Poly Network на $611 миллионов и интервью с хакером

Взлом межсетевого протокола Poly Network стал крупнейшим в истории DeFi проектов. Хакер смог украсть $611 миллионов 10 августа 2021 года, но по просьбе команды Poly Network вернул деньги и раскрыл все детали. В этой статье вы узнаете подробности взлома Poly Network.

10 августа в официальном аккаунте Poly Network в сети Twitter появилось сообщение о том, что проект был атакован и хакеру удалось вывести средства на несколько кошельков:

ETH: 0xC8a65Fadf0e0dDAf421F28FEAb69Bf6E2E589963
BSC: 0x0D6e286A7cfD25E0c01fEe9756765D8033B32C71
Polygon: 0x5dc3603C9D42Ff184153a8a9094a73d461663214

Представители проекта попросили майнеров и биржи внести в черный список эти кошельки и транзакции, которые через них проходят.

Хакер увел с баланса протокола многие токены, включая $USDC, $WBTC, $WETH, $RenBTC, $DAI, $UNI, $SHIB, $FEI и другие.

Проект открыто рассказывал о деталях взлома по мере их обнаружения.

Сообщество быстро отреагировало на ситуацию. Через час после информации о взломе, CEO Binance подтвердил то, что они следят за ситуацией, а Tether и вовсе заблокировал $33 миллиона на счету хакера.

Пользователь твиттер под ником Hsaka отправил на кошелек хакера транзакцию с предупреждением о том, что украденные средства внесены в черный список, на что хакер ответил транзакцией в 13,37 ETH ($42,000) с благодарностью.

Вечером 10 августа появилась информация о том, что компания Slowmist смогла отследить хакера и получить его IP-адрес и электронную почту через китайский обменник Hoo, которым хакер воспользовался для обмена популярного у хакеров токена Monero на BNB, ETH и Matic, которые были использованы при взломе.

Еще пару часов спустя представители Poly Network обратились к хакеру с просьбой вернуть средства и указали контакт для связи.

Ко всеобщему удивлению, хакер вышел на связь и пообещал вернуть украденные миллионы.

О возврате Poly Network отчитывались почти в прямом эфире. В первой транзакции хакер вернул $4,7 миллиона, а в течение суток проект получил уже $342 миллиона. К моменту написания этой статьи ожидался возврат $268 миллионов через блокчейн Ethereum.

Самое интересное то, что хакер дал интервью. Свои ответы он встроил в текст транзакции. Для того чтобы увидеть ответы нужно перейти на сайт etherscan.io, кликнуть на “Click to see More” и под блоком “Input Data” переключить отображение “View Input As” на кодировку “UTF-8”.

Рассказ хакера кратко:

  • взлом совершен ради веселья
  • выбор сделан в пользу Poly Network, потому что взламывать кросс-чейн протоколы круто

У меня были смешанные чувства, когда я увидел баг. Спросите себя, что бы вы сделали, если бы вам так повезло. Спросили бы у проекта могут ли они закрыть баг? Любой мог бы стать предателем, если бы ему дали миллиард. Я никому не мог доверять. Единственный вариант, который я увидел, это сохранить деньги в безопасном аккаунте, оставаясь при этом анонимным и в безопасности. Теперь каждый чувствует заговор в произошедшем. Думаете это инсайдер? Не я, но кто знает? Я взял на себя ответственность показать уязвимость до того как о ней узнали инсайдеры и смогли воспользоваться багом.

Poly Network это хорошая система. Это была одна из самых сложных атак, которой может насладиться хакер. Мне нужно было сделать это быстро, чтобы опередить инсайдеров и хакеров, так что я принял это как дополнительный вызов.

На вопрос был ли хакер раскрыт, он ответил отрицанием. Если расследование и получило его данные, то там лишь временная почта и поддельные сетевые отпечатки.

По теме

Комментарии закрыты.