ParaSpace-hack i retrospekt: ​​$5M reddet, store hævninger tidslåst, hacker vil have gebyrer tilbage

Krypto- og NFT-indsatsplatformen ParaSpace oplevede et forsøg på udnyttelse, der satte $5 millioner i fare, ifølge forskellige rapporter den 17. marts.

ParaSpace bekræfter sårbarhed

ParaSpace erkendte et angreb på sine kontrakter tidligt på dagen. Den satte sin protokol på pause og sagde senere, at den havde fundet årsagen til udnyttelsen.

Projektet erklærede desuden, at alle brugermidler, inklusive NFT'er, var sikre. ParaSpace mistede 50 til 150 ETH (mindre end $270,000) på grund af prisfald under angrebet og genopretningen. ParaSpace sagde, at det vil dække disse protokoltab. Desuden sagde det, at det vil give en dusør på 5% til BlockSec, som informerede det om problemet.

Da han blev spurgt om tidligere revisioner, indrømmede ParaSpace, at problemet eksisterede på trods af ni revisioner fra flere virksomheder - hvoraf nogle fandt sted for blot måneder siden.

ParaSpace sagde, at det retter problemet og bemærkede, at protokolpausen vil forblive indtil yderligere revisioner. Selvom ParaSpace ikke har annonceret en reaktiveringstid, har den tilføjet en anden begrænsning: store udbetalinger vil være tidslåst.

BlockSec opsnappede angriberen

Kryptosikkerhedsfirmaet BlockSec først anmeldte angrebet mod ParaSpace kl. 6:50 UTC den 17. marts. Omkring det tidspunkt opsnappede den hackeren og reddede 2,900 ETH (5 mio. USD). Virksomheden forsøgte at kontakte ParaSpace, men modtog intet svar.

Ifølge BlockSec tillod en sårbarhed i en af ​​ParaSpaces smarte kontrakter angriberen at låne yderligere tokens gennem en seks-trins proces.

BlockSec afslørede også i udtalelser til Blokken at den brugte hackerens egen udnyttelse - endda ved at ominstallere en version af den oprindelige angrebskontrakt - til at inddrive de stjålne midler med magt. BlockSec holdt de reddede midler og returnerede dem til ParaSpace.

Hackeren senere sendt en besked til BlockSec i en blockchain-transaktion, der bad om at få 0.7 ETH ($1,250) af gasgebyrer tilbage. Angriberen skrev: "Jeg mistede en masse penge på at prøve at få det til at fungere" og tilføjede: "det ville være fedt at få i det mindste nogle af [de penge] tilbage."

ParaSpace er en platform, der giver brugerne mulighed for at satse andre aktiver, herunder ikke-fungible tokens (NFT'er) og ERC-20-tokens. Dets websted annoncerer Bored Ape Yacht Club (BAYC), selvom de to projekter ikke er officielt forbundet.