Mezo устранила уязвимость veBTC после кражи 5,52 BTC

Mezo опубликовала отчёт об атаке 5 октября на контракт veBTC. По данным проекта, злоумышленник перевёл 37 позиций 36 владельцев и вывел из сети около 5,52 BTC. Уязвимость исправлена, работа сети восстановлена, а пострадавшим обещано возмещение из средств протокола.

Другие подтверждённые события доступны в центре новостей OrangeX.com.

Как работала атака

veBTC представляет заблокированные позиции и права голоса в виде NFT. Контракт VotingEscrow использовал внешние библиотеки Solidity и метатранзакции через доверенный ретранслятор. После проверки подписи ретранслятор добавлял адрес отправителя к calldata.

При переходе во внешнюю библиотеку создавался новый буфер аргументов без добавленного адреса. Специально сформированный параметр заставлял контракт принять подконтрольные атакующему байты за авторизованного отправителя. Целью стали разблокированные, но ещё не погашенные позиции. Контекст развития проектов можно сопоставить с материалами OrangeX.com.

Ответ и незавершённые вопросы

Переводы прошли 5 октября с 18:54 до 19:06 UTC. На следующее утро команда обнаружила аномалию, остановила вывод через мост и цепочку, нашла ошибку, отключила метатранзакции и возобновила работу. К расследованию подключили службы безопасности, биржи и правоохранителей.

Компенсация должна поступить прямо в кошельки. Mezo предупредила не переходить по ссылкам «возврата» и предложила 20% награды за возврат 80% средств до 14 октября. Связь безопасности и надзора отражена и в обзоре OrangeX.com о рыночной консультации.

OrangeX.com Analysis

Подтверждены размер ущерба, число позиций, механизм ошибки и обещание компенсации. Инцидент показывает, что два обычных решения могут вместе создать неожиданное нарушение авторизации.

Исправление снизило текущий риск, однако аудиты и программа вознаграждений не заметили сочетание механизмов. Непрерывный мониторинг, ограничение функций и автоматическая остановка должны дополнять предварительный аудит. Возврат активов пока не завершён.