بر اساس گزارش شرکت امنیت بلاکچین اسلومیست (SlowMist)، پروتکل تجمیع‌کننده سود ACryptoS در تاریخ ۸ نوامبر هدف نفوذ قرار گرفت و حدود ۶۶۵ هزار دلار از دارایی‌های موجود در ۷۷ استخر آن در شبکه‌های Arbitrum ،BNB Chain ،Polygon ،Base و Optimism تخلیه شد. در پی این رخنه، تیم توسعه‌دهنده فرآیند واریز را متوقف کرده و ضمن برنامه‌ریزی برای از رده خارج کردن پروتکل، از کاربران خواسته است دارایی‌های باقی‌مانده خود را خارج کنند.
سازوکار آسیب‌پذیری و صدور نامتناسب سهم
ریشه این حمله به یک خطای اعتبارسنجی در تابع depositMulti مربوط می‌شود. در استخرهایی که دارایی‌های آن‌ها شامل دو توکن بود، مهاجم توانست با ارسال ورودی ناقص که تنها شامل یک توکن با مقدار بسیار کم بود، منطق ارزیابی دارایی‌ها را مختل کند. این خطای محاسباتی باعث شد سهم اختصاص‌یافته به مهاجم به شکلی غیرواقعی بخش عمده‌ای از کل سهم‌های استخر را دربرگیرد.
پس از صدور سهم‌ها با ارزش ساختگی، مهاجم بلافاصله درخواست بازخرید دارایی ثبت کرد و سهم‌های دریافتی را در ازای توکن‌های واقعی هر دو طرف استخر برداشت نمود. این تناقض میان واریز ناچیز اولیه و پرداخت کامل پشتوانه، زمینه خروج سرمایه سایر سپرده‌گذاران را فراهم ساخت.
گسترش نقص فنی در پنج زنجیره بلاکچینی
به کارگیری کد یکسان در شبکه‌های مختلف باعث شد تا این آسیب‌پذیری به سرعت در آربیتروم، بایننس چین، پالیگان، بیس و آپتیمیزم تکرار شود. مهاجمان با رصد نخستین تراکنش بهره‌برداری، توانستند همان الگو را روی سایر استخرهای فعال در زنجیره‌های دیگر پیاده‌سازی کنند، بدون اینکه نیازی به انتقال مستقیم وجوه سرقتی میان شبکه‌ها از طریق پل‌ها باشد.
وضعیت برداشت دارایی‌ها و پاداش بازگشت سرمایه
مسیر برداشت در حال حاضر باز است، اما کاربران تنها قادر به بازخرید باقی‌مانده توکن‌های موجود در هر استخر خواهند بود. تعداد سهم‌های نمایش‌داده‌شده در کیف پول ممکن است بدون تغییر مانده باشد، اما ارزش دارایی واقعی پشتوانه آن کاهش یافته است؛ در نتیجه، مبلغ دریافتی کاربران ممکن است با تخمین‌های پیشین تفاوت جدی داشته باشد.
تیم ACryptoS برای ترغیب هکر به بازگرداندن سرمایه‌ها، ۱۰ درصد پاداش در نظر گرفته است. با این حال، هنوز سازوکار مشخصی برای نحوه جبران خسارت، ثبت اسنپ‌شات و توزیع عادلانه مبالغ بازگشتی احتمالی میان کاربران آسیب‌دیده اعلام نشده است.
