Клон Friend.Tech на Avalanche подвергся взлому на $3 млн

7 октября SocialFi-приложение Stars Arena, вдохновленное Friend.Tech, лишилось 266 103 AVAX (~$3 млн на момент атаки) из-за «серьезной бреши в безопасности» смарт-контрактов. 

There has been a major security breach with the smart contract.

We're actively checking the issue.

DO NOT deposit any funds.

Stay tuned for updates.

— Stars Arena (@starsarenacom) October 7, 2023

«Мы активно изучаем проблему. Не вносите какие-либо средства [в протокол]», — предупредили разработчики. 

Первыми на взлом обратили внимание аналитики Redline. По их данным, хакер уже вывел средства с помощью обменника FixFloat. 

🚨BREAKING!🚨

$3 000 000 HAS BEEN GONE FROM STARS ARENA SMART CONTRACT

DO NOT INVEST MONEY IN STARSARENA AT THIS MOMENT

Waiting for an explanation from @starsarenacom pic.twitter.com/5UpP2h6X1Q

— redline (@redlinemeta) October 7, 2023

Позднее представители Stars Arena заявили о возмещении активов, потерянных в ходе эксплойта. Временно ограничив доступ к платформе, команда проекта пригласила экспертов по безопасности для проведения дополнительных проверок. 

Средства из исходного горячего кошелька также перевели на новый мультисиг-адрес, находящийся под контролем разработчиков Stars Arena.

По данным DeFi Llama, общая стоимость заблокированных активов на платформе обвалилась до нуля. Вероятно, это связано с перемещением монет на другой кошелек. 

Незадолго до атаки в протоколе обнаружили критическую уязвимость, благодаря которой злоумышленники могли вывести токены AVAX из смарт-контрактов Web3-соцсети.

Спустя время в Stars Arena сообщили об устранении ошибки в функции getPrice(). В тот момент высокие комиссии в Avalance не позволили хакерам вывести криптовалюту из-за неоправданных издержек. 

На фоне взлома курс AVAX за сутки обвалился на 3% — с $10,19 до $9,86, согласно CoinGecko. 

Напомним, запущенная в конце сентября Stars Arena вызвала рост активности в Avalance. Количество транзакций в экосистеме подскочило с 790 000 до 1,2 млн менее чем за неделю.