Хакеры украли $1,9 млн у DeFi-протокола PancakeHunny

20 октября децентрализованный протокол PancakeHunny подвергся атаке с помощью мгновенного кредита и потерял 388 BNB и 1,7 млн TUSD (примерно $1,9 млн). Первыми на атаку обратили внимание специалисты компании в сфере блокчейн-безопасности PeckShield Inc.

1/4 @PancakeHunny was exploited in a flurry of 32 txs (one hack tx: https://t.co/vsTgfV3UO9) to mint huge amount of $HUNNY, leading to the gain of 388 BNB and 1.7M TUSD (with roughly $1.9M) for the hacker. pic.twitter.com/QgeOtekGEI

— PeckShield Inc. (@peckshield) October 20, 2021

По их данным, хакер осуществил 32 транзакции для создания огромного количества монет HUNNY.

«Взлом стал возможным из-за ошибки инфляции прибыли, которая конвертирует относительно небольшую сумму нафармленных ALPACA в большое число TUSD для стейкинга. Эти конвертированные TUSD затем засчитываются как прибыль и используются для создания огромного количества монет HUNNY», – объяснили эксперты.

В дальнейшем хакер пропустил средства через миксеры Typhoon Network и Tornado Cash, а также протоколы Anyswap, Celer Network и Synapse Protocol. В финале они были обменены на Ethereum.

В результате атаки цена токена HUNNY обрушилась более чем на 60% и на момент написания составляет $0,1179.

Позднее разработчики PancakeHunny подтвердили факт атаки. Они заверили, что все средства пользователей находятся в безопасности, а эксплойт повлиял только на цену HUNNY.

Dear Hunnies,

We have taken immediate action to protect our users from any further potential issues that could arise.

The exploit only affects the price of $Hunny. All Hives are unaffected. Funds are SAFU.

Preliminary report:https://t.co/Jqa3lTNqco pic.twitter.com/kpGdxFEEzA

— PancakeHunny ???? (@PancakeHunny) October 20, 2021

Напомним, в конце августа атаке с помощью мгновенного кредита подвергся DeFi-протокол Cream Finance. Ущерб составил 462 079 976 AMP и 2804 ETH (более $18 млн).

Спустя несколько недель проекту удалось вернуть 5152,6 ETH (примерно $16,7 млн на тот момент), идентифицировав хакера с помощью сообщества. При этом злоумышленник получил 10% от суммы в качестве награды за обнаруженную ошибку.