ເຫດການ Welnance DeFi platform ຖືກໂຈມຕີ Flash loans ໄດ້ເກີດຂຶ້ນເມື່ອວັນທີ 14-11-2021 ທີ່ຜ່ານມາທາງທີມເຂ່າວ Laox ເລີຍຂໍສະຫລຸບເຫດການຄືນ ວ່າເກີດການໂຈມຕີແບບໃດ ແລະພາຍຫລັງມີເຫດການ ທາງເຈົ້າຂອງແພລັດຟອມໄດ້ມີການອອກຖະແຫລ່ງການວ່າແນວໃດແດ່? ເຊິ່ງທີມຂ່າວພວກເຮົາຂໍສະຫລຸບດັ່ງນີ້ :
Welnance ແມ່ນ DeFi platform ທຳອິດຂອງປະເທດລາວ ເຊິ່ງໃນວັນທີ 14-11-2021 ທີ່ຜ່ານມາ ເວລາປະມານ 14:15 ໄດ້ຖືກໂຈມຕີໃນຮູບແບບທີ່ເອີ້ນວ່າ Flash Loan ໂດຍຜູ້ໂຈມຕີ ສາມາດຖອນເງິນໄປໄດ້ຈຳນວນໜຶ່ງ. ຊ່ອງໂຫວ່ຄັ້ງນີ້ເກີດຂຶ້ນຈາກການທີ່ smart contract ປ່ອຍກູ້ຂອງ Welnance ໄດ້ມີການດຶງຂໍ້ມູນລາຄາຫຼຽນມາຈາກ pancake swap ເພື່ອໃຊ້ໃນການຄຳນວນລາຄາຄູ່ຫຼຽນ WEL-USDT (price oracle) ເຊິ່ງການເຮັດແບບນີ້ໂດຍກົງຈະເຮັດໃຫ້ມີຊ່ອງໂຫວ່ທີ່ສາມາດເຮັດ price manipulation attack ໄດ້ ແລະ ຜູ້ໂຈມຕີ ໄດ້ອາໄສຊ່ອງທາງນີ້ໃນການໂຈມຕີ.
ສຳລັບລາຍລະອຽດ ແລະ ຂັ້ນຕອນທີ່ຜູ້ໂຈມຕີ ໃຊ້ໃນການໂຈມຕີສະຫຼຸບໄດ້ດັ່ງນີ້ :
- ກ່ອນອື່ນໝົດ ຜູ້ໂຈມຕີ ໄດ້ໂອນເງິນເຂົ້າກະເປົາທີ່ຈະໃຊ້ໃນການໂຈມຕີຈຳນວນ 0,1BNB ເພື່ອໃຊ້ເປັນຄ່າ Gas ແລະ ສ້າງ Smart Contract ຂຶ້ນມາເພື່ອເຮັດ Flash Loan.
- ຫຼັງຈາກນັ້ນເຮັດການຢືມເງິນຈາກ PancakeSwap ມາເປັນຈຳນວນ 550,000USDT ຜ່ານ Smart Contract ທີ່ຕົນເອງໄດ້ສ້າງຂຶ້ນ ແລະ ນຳເງິນທີ່ຢືມໄດ້ມາໄປຄ້ຳປະກັນເພື່ອກູ້ຫຼຽນ Wel ຈຳນວນ 385,000WELໃນ Platform ປ່ອຍກູ້ຂອງ Welnance.
- ເມື່ອໄດ້ຫຼຽນ Wel ມາແລ້ວ ຜູ້ໂຈມຕີ ໄດ້ນຳຫຼຽນດັ່ງກ່າວໄປເທຂາຍໃນ PancakeSwap ເພື່ອເຮັດໃຫ້ມູນຄ່າຂອງຫຼຽນ Wel ຕົກຈົນເກືອບເຫຼືອ 0$.
- ຫຼັງຈາກທີ່ມູນຄ່າຫຼຽນ Wel ຕົກຈົນເກືອບເຫຼືອ 0$ ແລ້ວ ຜູ້ໂຈມຕີ ກໍເກືອບບໍ່ຈຳເປັນຕ້ອງໃຊ້ເງິນມາຄ້ຳປະກັນຫຼຽນ Wel ທີ່ກູ້ມາອີກຕໍ່ໄປ. ຜູ້ໂຈມຕີ ຈຶ່ງສາມາດຖອນ USDT ທີ່ໃຊ້ຄ້ຳປະກັນໃນຕອນທຳອິດອອກມາໄດ້ 492,013USDT ລວມກັບເງິນທີ່ຂາຍຫຼຽນ Wel ໄດ້ເປັນຈຳນວນ 584,751USDT.
- ຈາກນັ້ນ ຜູ້ໂຈມຕີ ນຳເງິນທີ່ໄດ້ ໄປສົ່ງຄືນ PancakeSwap ທີ່ໄດ້ກູ້ມາຈຳນວນ 551,402USDT ແລະໄດ້ກຳໄລກັບມາຈຳນວນ 33,349USDT.
- ຜູ້ໂຈມຕີ ກັບມາໂຈມຕີອີກຄັ້ງໂດຍຄັ້ງນີ້ຢືມເງິນຈາກ PancakeSwap ຈຳນວນ 1,000,000USDT ແລະ ນຳເງິນທີ່ໄດ້ມາໄປຊຶ້ຫຼຽນ Wel ເພື່ອເຮັດໃຫ້ລາຄາຫຼຽນ Wel ສູງຂຶ້ນ, ໃນເວລານັ້ນລາຄາຫຼຽນ Wel ສູງກວ່າ 200$/WEL ແລະ ຊື້ມາ 169,882WEL.
- ຈາກນັ້ນນຳຫຼຽນ Wel ທີ່ໄດ້ມາໄປຄ້ຳປະກັນຈຳນວນ 80WEL ແລ້ວກູ້ 8,651USDT, 0.06BTC ແລະ 0.7ETH ໃນ Platform ປ່ອຍກູ້ຂອງ Welnance.
- ຈາກນັ້ນນຳຫຼຽນ Wel ທັງໝົດທີ່ມີຢູ່ 169,802WEL ໄປຂາຍເຮັດໃຫ້ມູນຄ່າຫຼຽນ Wel ຕົກແລະນຳເງິນທີ່ໄດ້ມາ 1,002,550USDT ໄປຄືນໃນ PancakeSwap. Hacker ໄດ້ກຳໄລຈາກຄັ້ງນີ້ໄປມີ: 5,994USDT, 0.06BTC ແລະ 0.7ETH. ລວມເປັນມູນຄ່າປະມານ 16,000USDT.
- ສຸດທ້າຍແລ້ວ Hacker ນຳຫຼຽນທີ່ໄດ້ມາທັງໝົດໄປແລກເປັນ Bnb ທີ່ PancakeSwap ໄດ້ມາປະມານ 76.65BNB ແລະນຳ Bnb ທັງໝົດໂອນໄປທີ່ Tornado Cash ເພື່ອເຮັດໃຫ້ບໍ່ສາມາດຕິດຕາມໄດ້.
Attacker wallet: 0xA6516b0fC4e98A942DeCD6Ef733cae29B74A0951
Attacker Flash loan smart contract:
1. 0x3e8164bd6cd56c1793b13a5c82cf17fca0ad44ed
2. 0x96e28c2ffa1bbf45929051289ecfa8aa8039e23f
ຂັ້ນຕອນການໂຈມຕີຂ້າງເທິງແມ່ນອ້າງອີງຈາກ ການສະຫຼຸບເຫດການຂອງ ຜູ້ໃຊ້ Facebook ຊື່ວ່າ Phoutkham Mindset ອ່ານທີ່ລິ້ງ https://cutt.ly/NTcxDAS
ແລະ ການສະຫຼຸບ ເຫດການຂອງທີມ inspex https://inspexco.medium.com/welnances-incident-analysis-wel-price-manipulation-9020617452
ຫຼັງຈາກນັ້ນທາງທີມງານຂອງ Welnance ກໍໄດ້ອອກມາຖະແຫຼງການວ່າທາງ Platform ຂອງຕົນແມ່ນຖືກໂຈມຕີແທ້ ໂດຍການໂຈມຕີຄັ້ງນີ້ແມ່ນການໂຈມຕີລະບົບກົນໄກທຸລະກິດ (Bussiness Logic) ຂອງລະບົບ Welnance Defi ເຊິ່ງມັນບໍ່ແມ່ນການຖືກແຮັກເຂົ້າມາໃນລະບົບເພື່ອລັກໂອນເງິນ ຫຼືລັກເອົາຂໍ້ມູນອອກໄປແຕ່ຢ່າງໃດ.
ໂດຍມື້ວານນີ້ 15 ຕຸລາ 2021 ທາງ CEO ຂອງ Welnance ກໍໄດ້ມີການອອກຖ່າຍທອດສົດ ແລະ ຊີ້ແຈງກ່ຽວກັບປະເດັນທີ່ລະບົບຂອງ Welnance ຖືກໂຈມຕີ ແລະ ຄຳຖະແຫຼງການມີດັ່ງລຸ່ມນີ້:
ສຳລັບ Welnance Platform ໄດ້ເປີດທົດລອງໃຊ້ ຕັ້ງແຕ່ວັນທີ 11.11.21 ມາຮອດ ວັນທີ 14/11/21 ເວລາ 2:15am ໄດ້ເກີດມີການໂຈມຕີເກີດຂຶ້ນ ຫຼື ເອີ້ນວ່າ Flash Loan ຜ່ານການກວດສອບເຫດການດັ່ງກ່າວ ຮ່ວມກັບບໍລິສັດຊັ້ນນຳລະດັບໂລກຢ່າງ Inspex ກໍພົບວ່າຜູ້ໂຈມຕີໄດ້ມີການໃຊ້ Flash Loan ເພື່ອ manipulate ຫຼື ປັ່ນປ່ວນລາຄາຫຼຽນ Wel ໃຫ້ສູງຂຶ້ນຫຼືຕ່ຳລົງຢ່າງຜິດປົກກະຕິໂດຍການຊື້ຂາຍ $WEL ເທິງ PancakeSwap ເຊິ່ງມີສະພາບຄ່ອງທີ່ຕ່ຳເມື່ອທຽບກັບຈຳນວນທີ່ໄດ້ຈາກການ Flash Loan ສົ່ງຜົນໃຫ້ຜູ້ໂຈມຕີສາມາດກູ້ຢືມສິນຊັບຈາກ Welnance ໄດ້ຫຼາຍກວ່າປົກກະຕິ ເນື່ອງຈາກ Contracts ຕ່າງໆຂອງ Welnance ມີການອ້າງອີງລາຄາ $WEL ຈາກ PancakeSwap ໂດຍກົງ ເມື່ອເກີດເຫດການດັ່ງກ່າວທາງພວກເຮົາຈຳຕ້ອງໄດ້ຂໍປິດການຝາກ-ຖອນ ຊັບສິນ ອອກຈາກລະບົບໄວ້ຊົ່ວຄາວ ເພື່ອບໍ່ໃຫ້ເກີດຄວາມເສຍຫາຍ ຕໍ່ຜູ້ໃຊ້ງານຫລາຍຄົນ.
ຄວາມຈິງແລ້ວເຫດການຖືກໂຈມຕີແບບນີ້ເປັນເລື່ອງທຳມະດາຂອງຫຼາຍ Platform ທີ່ຕ້ອງພົບ, ຕົວຢ່າງແພັດຟອມລະດັບໂລກກໍເຄີຍເກີດຂຶ້ນມາແລ້ວເຊັ່ນ:
1. ກໍລະນີ BSC Flash Loan: ທີ່ຖືກໂຈມຕີໃນເດືອນ ພຶດສະພາ ປີ 2021 ໄດ້ເກີດການເສຍຫາຍປະມານ $45 ລ້ານໂດລາ.
2. ກໍລະນີ Cream Finance ໄດ້ຖືກໂຈມຕີລັກສະນະດຽວກັນເສຍຫາຍ 100 ລ້ານໂດລາ ໃນເດືອນຕຸລາ ປີ 2021.
3. ກໍລະນີ PolyNetwork ໄດ້ຖືກວິເຄາະການໂຈມຕີໃນວັນທີ 10 ເດືອນ ສິງຫາ 2021. PolyNetwork ແມ່ນມີຊ່ອງໂຫວ່ທີ່ສາມາດຖືກໂຈມຕີຜ່ານ Chain ໄດ້ ກໍ່ໃຫ້ເກີດຄວາມເສຍຫາຍ 600 ລ້ານໂດລາ.
ຕໍ່ກັບເຫດການຖືກໂຈມຕີດັ່ງກ່າວ ທາງທີມ Welnance Security ກໍໄດ້ເຮັດວຽກຢ່າງໜັກ ເພື່ອກວດສອບ ລະບົບຄວາມປອດໄພເພື່ອຮັບປະກັນວ່າຊັບສິນລູກຄ້າທຸກທ່ານຕ້ອງປອດໄພ ແລະ ການຖືກໂຈມຕີໃນຄັ້ງນີ້ ບໍ່ໄດ້ສົ່ງຜົນກະທົບຕໍ່ການຊື້ຂາຍ WELCOIN ແຕ່ຢ່າງໃດ ຍັງສາມາດນຳໃຊ້ໄດ້ປົກກະຕິ.
ສຳລັບຄວບຄືບໜ້າຕໍ່ການຖືກໂຈມຕີ ຂະນະນີ້ທາງທີມງານ Welnance ສາມາດ ປ້ອງກັນ ແລະຄວບຄຸມ ບໍ່ໃຫ້ເກີດຄວາມເສຍຫາຍໄດ້ເປັນທີ່ຮຽບຮ້ອຍແລ້ວ. ພ້ອມກັນນີ້ພວກເຮົາກຳລັງດຳເນີນການແກ້ໄຂຢ່າງຮີບດ່ວນລວມເຖິງພິຈາລະນາແນວທາງການຊົດເຊີຍໃຫ້ກັບຜູ້ໃຊ້ງານທີ່ໄດ້ຮັບຜົນກະທົບ ເພື່ອໃຫ້ແນ່ໃຈວ່າຊັບສິນຂອງຜູ້ໃຊ້ງານທຸກທ່ານຈະບໍ່ໄດ້ຮັບຜົນກະທົບຈາກເຫດການໃນຄັ້ງນີ້ ແລະ ອະນາຄົດ.
ຮັບຊົມການຖະແຫຼງການແບບເຕັມໄດ້ທີ່ : https://cutt.ly/3TcxzQ5
ຂອບໃຈຂໍ້ມູນຈາກ: https://cutt.ly/JTclbF0
ຕິດຕາມຂ່າວທັງໝົດຈາກ LaoX: https://laox.la/all-posts/
