1inch hacker fonların çoğunu iade etti, ayrıştırıcı sözleşmesindeki güvenlik açığı iki yıldan uzun süredir mevcuttu

BlockBeats, 9 Mart'ta 1inch ekibinin 7 Mart'ta Fusion v1 ayrıştırıcı akıllı sözleşmesinin eski sürümünde bir güvenlik açığı keşfettiğini ve bunun sonucunda yaklaşık 2,4 milyon USDC ve 1.276 WETH olmak üzere toplamda 5 milyon ABD dolarından fazla bir kayıp yaşandığını bildirdi. Tehlikeye atılan tek nesneler Fusion v1'i kullanan çözümleyici sözleşmeleriydi.

Decurity güvenlik ekibinin soruşturma sonrası raporuna göre, söz konusu güvenlik açığı Kasım 2022'de Solidity'den Yul'a yeniden yazılan kodda mevcut. Birden fazla güvenlik ekibinin denetimlerine rağmen, güvenlik açığı sistemde iki yıldan uzun süredir varlığını sürdürüyor. Olaydan sonra saldırgan, zincir üstü bir mesajla "Ödülü alabilir miyim?" diye sordu ve ardından kurban TrustedVolumes ile pazarlık yaptı. Başarılı müzakerelerin ardından saldırgan, 5 Mart akşamı paraları iade etmeye başladı ve en sonunda 6 Mart sabahı 04:12'de (UTC) ödül hariç tüm paraları iade etti.

Fusion V1 denetim ekiplerinden biri olan Decurity, olayla ilgili dahili bir soruşturma yürüttü ve tehdit modelinin ve denetim kapsamının açıklığa kavuşturulması, denetim sırasında kod değişiklikleri için ek süre talep edilmesi ve dağıtılan sözleşmelerin doğrulanması gibi çeşitli dersleri özetledi.