حمله وام سریع به Polter Finance: سرقت ۱۲ میلیون دلاری از پلتفرم DeFi

حمله وام فلش به Polter و محکومیت ۲۴ ساله مردی برای کلاهبرداری: Crypto-Sec

پروتکل مالی غیرمتمرکز (DeFi) مبتنی بر Fantom به نام Polter Finance در تاریخ ۱۸ نوامبر با حمله‌ای کلاسیک از نوع وام فلش بیش از ۷ میلیون دلار از دست داد. به گفته تحلیلگر بلاکچین، نیک فرانکلین، مهاجم به‌طور مصنوعی قیمت توکن حاکمیتی SpookySwap، یعنی BOO، را افزایش داد و "تقریباً تمام توکن‌های BOO را از استخر نقدینگی قرض گرفت." پس از افزایش قیمت، مهاجم توانست "با واریز ۱ توکن BOO تمام استخرها را تخلیه کند."

داده‌های پلتفرم تحلیل بلاکچین BlockSec Phalcon تأیید می‌کند که قبل از حمله، تنها ۲۶۹,۰۴۲.۲۲۸۵۱۵۶۲۷۸۶ توکن در استخر نقدینگی وجود داشت. مهاجم سپس ۲۶۹,۰۴۲.۲۲۸۵۱۵۶۲۷۸۵ توکن BOO (معادل ۱.۳ میلیون دلار بر اساس قیمت آن زمان) را از طریق یک وام فلش قرض گرفت و تنها ۰.۰۰۰۰۰۰۰۰۰۰۰۱ توکن باقی گذاشت. از آنجا که قیمت یک توکن در یک صرافی غیرمتمرکز بر اساس نسبت آن با توکن دیگری تعیین می‌شود، این امر باعث افزایش شدید قیمت BOO شد. سپس مهاجم یک توکن BOO واریز کرد و توانست ۹.۱ میلیون دلار توکن Fantom (FTM) قرض بگیرد و ۷.۸ میلیون دلار سود کند.

مهاجم سپس این حمله را تکرار کرد تا توکن‌های دیگری مانند Magic Internet Money (MIM)، sFTMX، Axelar USDC (axlUSDC)، بیت کوین (BTC)، اتر (ETH) و USD Coin (USDC) به دست آورد. برخی تخمین‌ها حاکی از آن است که در مجموع ۱۲ میلیون دلار از این حمله به دست آمده است. فرانکلین در مورد چگونگی بازپرداخت وام فلش توسط مهاجم نظری نداد، اما احتمالاً مهاجم توکن‌های BOO را از یک استخر نقدینگی دیگر با قیمت بسیار پایین‌تر خریداری کرده است.

کاربران DeFi باید به خطرات واریز به پلتفرم‌هایی که توکن‌های با نقدینگی پایین دارند توجه کنند، زیرا قیمت این توکن‌ها به‌راحتی قابل دستکاری است. بنیان‌گذار ناشناس Polter Finance، معروف به Whichghost، گزارشی به پلیس ارائه داده و در حال مذاکره با مهاجم است.

حمله به پلتفرم پوکر CoinPoker

پلتفرم پوکر کریپتو CoinPoker اخیراً قربانی هک کلید خصوصی شده است. به گزارش پلتفرم تحلیل بلاکچین Cyvers در تاریخ ۱۸ نوامبر، مهاجم انتقال‌هایی در شبکه‌های مختلف از جمله BNB Smart Chain، اتریوم و پالیگان انجام داده است. در تاریخ ۱۶ نوامبر، این پلتفرم تلاش کرد با مهاجم مذاکره کند و پیامی در شبکه اتریوم منتشر کرد: "ما از فعالیت‌های مربوط به سرقت وجوه از آدرس کیف پول [که با 0x3c17 شروع می‌شود] آگاه هستیم. ما به دنبال برقراری ارتباط امن برای حل این مسئله به‌صورت سازنده هستیم. [...] ما آماده‌ایم درباره شرایط، از جمله احتمال پرداخت پاداش، برای بازگشت امن وجوه مذاکره کنیم."

داده‌های بلاکچین نشان می‌دهد که مهاجم بیشتر وجوه سرقت شده را به میکسر حریم خصوصی Tornado Cash واریز کرده است که ردیابی آن را دشوار می‌کند و ممکن است موقعیت مذاکره پلتفرم را تضعیف کند.

کاربران Web3 باید آگاه باشند که در صورت هک شدن یک پلتفرم بازی متمرکز و از دست رفتن سپرده‌های مشتریان، ممکن است وجوه خود را از دست بدهند. خوشبختانه، CoinPoker در برابر این حمله مقاوم بوده و برداشت‌ها در حال حاضر به‌طور عادی انجام می‌شود.

محکومیت ۲۴ ساله مردی برای کلاهبرداری کریپتو

مردی از شهر الکارت، کانزاس، به دلیل نقش خود در یک کلاهبرداری کریپتو که باعث سقوط بانک Heartland Tri-State شد، به ۲۴ سال زندان محکوم شد. به گزارش سایت خبری فناوری The Register در تاریخ ۵ نوامبر، رهبر این کلاهبرداری هنوز توسط مقامات دستگیر نشده است. طبق این گزارش، شان هینز ۵۳ ساله در زمان ارتباط با یک کلاهبردار کریپتو از طریق واتساپ، مدیرعامل بانک Heartland Tri-State بود. این کلاهبردار هینز را متقاعد کرد که در یک طرح سرمایه‌گذاری جعلی کریپتو سرمایه‌گذاری کند.

اما هینز فقط پول خود را سرمایه‌گذاری نکرد. او همچنین از وجوه کلیسای مسیح الکارت و باشگاه سرمایه‌گذاری سانتا فه، که مسئولیت مدیریت مالی آن‌ها را بر عهده داشت، سوءاستفاده کرد. علاوه بر این، هینز در نهایت شروع به برداشت وجوه از خود بانک کرد. بیش از ۴۷ میلیون دلار از سپرده‌های بانک Heartland Tri-State به این کلاهبرداری منتقل شد، اما این طرح هرگز سود واقعی نداشت و پول توسط بنیان‌گذار ناشناس آن به جیب زده شد.

مدیر مالی بانک در نهایت سوءاستفاده هینز را به مقامات گزارش داد، اما تا آن زمان خسارات به حدی بود که از سرمایه بانک بیشتر شد و باعث ورشکستگی آن شد. به گزارش CNN در جولای ۲۰۲۳، بانک ورشکسته ابتدا توسط شرکت بیمه سپرده‌های فدرال ایالات متحده نجات یافت و سپس توسط بانک Dream First Bank of Syracuse خریداری و بازگشایی شد. طبق این گزارش، مقامات توانستند ۸ میلیون دلار از کیف پول‌های هینز بازیابی کنند، اما ۳۹ میلیون دلار باقی‌مانده برای همیشه از دست رفته است.

سرمایه‌گذاران کریپتو باید نسبت به سرمایه‌گذاری‌هایی که نمی‌توان آن‌ها را از طریق یک کاوشگر بلاک عمومی ردیابی کرد، مشکوک باشند. این نوع "پروژه‌ها" اغلب ساختگی هستند.