ההאקר של Munchables, שניצל לאחרונה חולשה בפרוטוקול ורוקן את Ether (ETH) בשווי של יותר מ-62 מיליון דולר, החזיר את המפתחות עם הכספים הגנובים.

על פי מודיע הבלוקצ'יין ZachXBT, ההאקר עבד לכאורה כמפתח ב-Munchables ויש לו קשרים אפשריים עם צפון קוריאה.

Munchables מפסידה יותר מ-62 מיליון דולר ב-ETH

Munchables, פרוטוקול משחקי Web3 ברשת Blast, ספג ניצול ביום שלישי, 26 במרץ, שהוביל להפסד של למעלה מ-62 מיליון דולר. הצוות מאחורי הפרויקט חשף בפוסט X כי הפלטפורמה הייתה נפגע בזמן שהם עשו מאמצים לעקוב אחר תנועת ההאקר ולעצור עסקאות.

בתגובה לפוסט של Munchables, ZachXBT הראה שהכתובת של החוקר החזיקה בערך 17,415 ETH (בשווי 62.25 מיליון דולר על סמך המחיר הנוכחי של אתר). ZachXBT ציין עוד כי התקיפה בוצעה על ידי מקורב, חשוד מפתח צפון קוריאני נשכר לכאורה על ידי צוות Munchables, עם הכינוי "Werewolves0493" ב-GitHub.

בינתיים, מפתח Solidity, העונה לשם המשתמש 0xQuit ב-X, אמר בפוסט שהמתקפה על Munchables הייתה מתוכנן מההתחלה. לדברי היזם,

"הרמאי השתמש במניפולציה ידנית של חריצי אחסון כדי להקצות לעצמו איזון Ether עצום לפני ששינה את יישום החוזה לכזה שנראה לגיטימי. ואז הוא פשוט משך את האיזון הזה ברגע ש-TVL היה עסיסי מספיק".

זמן קצר לפני הפריצה, הערך הכולל הננעל (TVL) על Munchables היה מעל 96 מיליון דולר, על פי נתונים מ-DeFiLlama. בעקבות התקרית, ה-TVL של הפרויקט ירד ל-34 מיליון דולר.

שינוי לב?

עם זאת, הדברים קיבלו תפנית אחרת ביום רביעי, 27 במרץ, כאשר Munchables, בעדכון, חשף כי היזם הנוכל הסכים לשתף ולבסוף שיתף את המפתחות הפרטיים המחזיקים את כל הכספים מבלי לציין תנאים כלשהם.

מפתח Munchables שיתף את כל המפתחות הפרטיים המעורבים כדי לסייע בהחזרת כספי המשתמש. באופן ספציפי, המפתח שמכיל $62,535,441.24 דולר, המפתח שמכיל 73 WETH, ומפתח הבעלים שמכיל את שאר הכספים.

— Munchables (@_munchables_) במרץ 27, 2024

Tiesshun Roquerre, הידוע בשם Pacman, שעומד מאחורי רשת Ethereum שכבה 2 Blast וגם ה-Non-fungible token (NFT) Blur, אמר בפוסט X, "97 מיליון אובטחו ב-multisig על ידי תורמי הליבה של Blast."

פקמן ציין כי המפתח לשעבר הסכים להחזיר את הקרן ללא כופר תוך שהוא מציין כי היו מאמצים לחלק מחדש את הכספים בבטחה למשתמשים.

97 מיליון דולר הושגו במולטי-סיג על ידי תורמי הליבה של Blast. לקח עלייה מדהימה ברקע אבל אני אסיר תודה שהמפתחים לשעבר בחרו להחזיר את כל הכספים בסופו של דבר ללא צורך בכופר. @_munchables_ ופרוטוקולים המשתלבים איתו כמו @juice_finance...

— פקמן | טשטוש + פיצוץ (@PacmanBlur) במרץ 27, 2024

לפני שהמפתח החזיר את הכספים, היו שיחות ממשתמשים ב-X שביקשו מ-Blast להחזיר את השרשרת שלהם לאחור - מה שאומר סיבוב אחורה של הבלוקצ'יין לפני שהאירוע התרחש, מה שבמקרה זה יבטל את הפריצה.

עם זאת, פעילות זו נתפסת כמנוגדת לביזור, שכן עסקאות בלוקצ'יין אמורות להיות בלתי חוזרות. כמו כן, הפיצוץ נתפס כ לא מבוזר מספיק, שכן הוא נשלט על ידי 3/5 multisig.