NovaBox quỹ thưởng bị tấn công, hacker lợi dụng lỗ hổng cơ chế phân phối để đánh cắp 56.73 ETH

Theo thông tin từ ChainCatcher, theo báo cáo của Bits.media, bể thưởng của nền tảng NovaBox đã bị tấn công vào ngày 9 tháng 6 trên Ethereum, thiệt hại khoảng 56.73 ETH, hơn 130 người dùng gửi tiền bị ảnh hưởng. Kẻ tấn công chỉ thông qua một giao dịch đã làm cạn kiệt số tiền trong bể từ 65.11 ETH xuống còn 0.09 ETH, chiếm khoảng 99.86%.

Công ty an ninh F12 cho biết, sự kiện này không phải do lỗ hổng hợp đồng thông minh, mà là do thiếu sót trong cơ chế phân phối thưởng. Kẻ tấn công đã vay 427.5 WETH thông qua Aave V3 flash loan, lợi dụng lỗ hổng trong cơ chế của NovaBox, nơi mà cổ tức được phát trước khi cập nhật số dư khi người dùng gửi và rút tiền. Kẻ tấn công đã gửi một lượng nhỏ token NOVA để kích hoạt tính toán cổ tức, sau đó gửi một lượng lớn ETH làm tăng đáng kể tỷ lệ thực tế, nhưng do hệ thống không kịp thời cập nhật số dư, vẫn tính cổ tức theo tỷ lệ nhỏ trước đó, trong khi thanh toán theo tỷ lệ lớn mới, dẫn đến khoảng 145.82 ETH "cổ tức ảo", từ đó làm cạn kiệt bể thưởng.