Vào ngày 30 tháng 4 năm 2022, giờ Bắc Kinh, Fei Protocol đã thông báo rằng họ đang điều tra một lỗ hổng trên nhóm Rari Fuse. Hiện tại, dự án đã tạm dừng tất cả các khoản vay để giảm tổn thất thêm và công khai cung cấp cho kẻ tấn công 10 triệu đô la Mỹ để đổi lấy số tiền của người dùng bị tin tặc đánh cắp và hứa sẽ không đặt câu hỏi sau đó.

Tổng thiệt hại được báo cáo cho đến nay là khoảng 79,35 triệu đô la và những kẻ tấn công đã gửi 5.400 ETH (khoảng 15,3 triệu đô la) đến Tornado Cash, mặc dù chúng vẫn giữ 22.672,97 ETH (khoảng 64,25 triệu đô la) trong ví của mình. Cuộc tấn công này đã làm cạn kiệt quỹ của nhóm tiền xu Rari và nhóm tiền xu Fei (Tribe, Curve) vẫn chưa bị ảnh hưởng.

Một thành viên nhóm Rari đã trả lời điều này trong dự án Discord, nói rằng",cũng như",cũng như"PCV trong Fuse pool có thể gặp rủi ro"。

Thành viên nhóm Rari cũng xác nhận rằng các tài sản chỉ có thể cho vay dễ bị tổn thương, mặc dù tình hình đã được cải thiện.

Các báo cáo sơ bộ chỉ ra rằng lỗ hổng này có khả năng do tái nhập, lỗi phổ biến nhất trong kiểm toán thông minh và là thủ phạm của nhiều lỗ hổng—chẳng hạn như vụ hack The DAO khét tiếng năm 2016 và một số tin tặc trong những năm gần đây.

○ Vào tháng 4 năm 2020, Uniswap/Lendf.Me đã bị tin tặc tấn công bằng lỗ hổng đăng nhập lại và tài sản bị đánh cắp là 5 triệu đô la Mỹ.

○ Vào tháng 5 năm 2021, BurgerSwap đã bị tin tặc sử dụng với mục đích xấu do hợp đồng giả và lỗ hổng đăng ký lại, tài sản bị đánh cắp là 7,2 triệu đô la Mỹ.

○ Vào tháng 8 năm 2021, SURGEBNB đã bị đánh cắp. Tin tặc dường như đã sử dụng thao túng giá dựa trên mục nhập lại để thực hiện cuộc tấn công. Tài sản bị đánh cắp trong vụ việc này là 4 triệu đô la Mỹ.

○ Vào tháng 8 năm 2021, lỗ hổng tái nhập của CREAM FINANCE đã cho phép tin tặc thực hiện các khoản vay thứ cấp và tài sản bị đánh cắp là 18,8 triệu đô la Mỹ.

○ Vào tháng 9 năm 2021, giao thức Siren đã bị tấn công, với 3,5 triệu đô la tài sản bị đánh cắp - nhóm AMM của nó đã bị tấn công bằng cách nhập lại.

CertiK đã xuất bản một bài báo về các cuộc tấn công vào lại trên phương tiện trong tuần này: https://certik.medium.com/what-is-a-reentrancy-attack-6516fefc001

viết ở cuối

viết ở cuối

Do đó, gần 80 triệu đô la tài sản bị đánh cắp đã khiến Fei Protocol trở thành nạn nhân của cuộc tấn công reentrancy lớn nhất từ ​​​​trước đến nay.

Vào ngày 1 tháng 4 năm 2022, Rari Capital đã xuất bản một báo cáo cập nhật bảo mật trên Medium cho biết rằng họ đã vá một vấn đề bảo mật liên quan đến nhóm Fuse.

Bản vá này khắc phục một lỗ hổng đã biết trong Compound bằng cách ngăn chặn việc vào lại theo yêu cầu của chức năng. Mặc dù phương pháp này bảo vệ nhiều chức năng của hệ thống nhưng nó không hoạt động đối với exitMarket(). Ngay cả khi khóa truy cập lại toàn cầu đang hoạt động, khi kẻ tấn công ác ý nhận được ETH, chúng có thể gọi exitMarket().

Fei Protocol cũng đã gặp một số vấn đề vào đầu tháng này khi họ có thể ngăn chặn lỗi này trước khi nó xảy ra nhưng mọi chuyện không suôn sẻ lắm: họ đã tìm thấy một lỗi thông qua chương trình tiền thưởng lỗi khiến họ phải đóng giảm giá trong khi họ đang sửa lỗi chương trình.

Cho đến thời điểm hiện tại, nhóm Fei Protocol vẫn chưa chính thức công bố phát hiện của họ.