Level Finance 确认 100 万美元的漏洞利用存在漏洞的智能合约

去中心化交易所 Level Finance 遭遇安全漏洞，攻击者可以窃取超过 100 万美元的交易所原生 Level Finance (LVL) 代币。

Level Finance 通知其 20,000 名 Twitter 关注者，超过 214,000 个交易所的 LVL 代币已被抽空并换成 3,345 个币安币 (BNB)，价值约为 101 万美元。

一个针对我们的推荐控制器合约的漏洞利用。

– 214k LVL 代币流向开发者地址。
– 攻击者将 LVL 兑换成 3,345 BNB
– 利用与其他合约隔离开来。
– 修复在 12 小时内部署。
– LP 和 DAO 的财务不受影响。

更多详情请关注。

— LEVEL 金融#RealYield (@Level__Finance) 2023 年 5 月 1 日

根据区块链安全公司 Peckshield 的说法，Level Finance 的“LevelReferralControllerV2”智能合约包含一个错误，允许来自同一时期的“重复推荐声明”。 Level Finance 在后来在 Discord 上发表的声明中证实了这一点。

看来 @Level__金融的 LevelReferralControllerV2 合约有一个错误，允许从同一时期重复引用声明。 到目前为止，已有 214k LVL 被抽空并兑换成 3,345 BNB（约 100 万）

这是一个示例 hack tx：https://t.co/isqHhzFk1Z https://t.co/ikOWx2ezf6 pic.twitter.com/wlr5bFFf0R

— PeckShield Inc. (@peckshield) 2023 年 5 月 1 日

同时，来自币安链浏览器 BSC Scan 的数据显示，V2 控制器合约显示在过去 48 小时内多次调用“claim multiple”功能。

在撰写本文时，自攻击发生以来，合约的实施似乎没有改变，但 Level Finance 表示将在未来 12 小时内部署推荐合约的新实施。

该交易所还指出，其流动资金池和相关的 DAO 仍未受到此次攻击的影响。

有关的： 4 月份的加密骗局、漏洞利用和黑客攻击导致 1.03 亿美元的损失 — CertiK

根据 Twitter 上的@DeDotFiSecurity，该团队 说 它已经“暂时关闭了推荐程序”，从而阻止了漏洞利用。