Хитрый хакер ограбил SpankChain

Украсть чаевые у стриптизерши – это все равно, что отобрать конфету у ребенка. Это просто некрасиво. Кто-то должен сказать об этом негодяю, которому удалось украсть 165.38 ETH ($ 34 000), используя ошибку в одном из смарт-контрактов SpankChain.

SpankChain – это смарт-контракт на основе Ethereum, а BOOTY – это токен ERC-20, который выдается танцовщицам во время выступлений на веб-камеру в режиме реального времени. Во время взлома из-за нарушения безопасности были также заморожены токены BOOTY на сумму 4 000 долларов США.

Компания SpankChain объявила об атаке на своем веб-сайте только на следующие сутки, поскольку была занята расследованием других ошибок смарт-контракта и не заметил происшествия. И хотя расследование еще ведется, компания подробно объяснила, как именно это случилось, указала адрес злоумышленника, вредоносный контракт и внутренние транзакции, связанные с ним. Оказывается, хакер использовал ту же ошибку, которую использовал другой хакер в атаке на проект DAO. А именно: ошибку под названием «рекурсивный вызов», которая позволяет многократно снимать токены и повторно сбирать ETH в рамках одной транзакции. 

Следует отметить, что компания SpankChain отнеслась к этому более серьезно, чем многие другие площадки, которые становятся жертвами недочетов в системе безопасности, и поставила перед собой задачу возместить убытки всем пользователям, которые потеряли средства при атаке. Компания планирует осуществить ETH-airdrop в отношении всех украденных ETH и BOOTY стоимостью 9 300 долларов.

Компания также решила теперь заплатить за аудит 30 000 - 50 000 долларов США, посчитав проверку за 17 000 долларов, осуществленную компанией Zeppelin, недостаточной. В своем заявлении представители SpankChain отметили, что платить больше за безопасность - это взвешенное, прагматичное решение.

Площадка пообещала улучшить свои методы обеспечения безопасности в будущем, и надеется, что все пользователи и танцовщицы соберут еще больше BOOTY.

По материалам bitcoinist.com