У биржи Robinhood на блокчейне украли $2,23 млн

У биржи на блокчейне Robinhood украли криптоактивы на $2,23 млн

Ошибка в коде позволяла пользователям создавать баланс, многократно превышающий реальный, и выводить виртуальные средства. Биржа заявила, что клиентские активы не пострадали, а уязвимость устранили.

Расследование показало, что любой аккаунт на бирже в блокчейне Robinhood мог записать себе завышенный баланс и подать заявку на вывод средств. Злоумышленники создали новый аккаунт и указали на нём миллионный баланс.

Часть виртуальных средств неизвестные успели вывести до блокировки операций по их адресу. Ещё около $3 млн заблокировал ончейн-лимит пропускной способности моста. Общий ущерб составил $2,23 млн.

Robinhood сообщила, что средства клиентов не пострадали, а уязвимость уже устранили. Компания планировала компенсировать ущерб из казначейства Arcus — приложения в сети Robinhood Chain.

Через два дня после взлома Arcus предложила атакующим до 13 ноября вернуть 90% выведенной суммы — около $2,011 млн в ETH, WETH или DAI. Оставшиеся $223 000 им разрешили оставить как вознаграждение за обнаруженную уязвимость.

Биржа стала одной из первых, запущенных на Robinhood Chain, в июле. Площадка предлагает спотовую торговлю и вечные фьючерсы, используя котировки профессиональных участников рынка — маркетмейкеров. В октябре биржа отчиталась об объёме торгов $5 млрд.

Недавно атаке подвергся кроссчейн-мост Ankr. Злоумышленники провели пять несанкционированных выводов и похитили криптоактивы более чем на $303 000.