Sàn Dex Hàng Đầu Trên Layer-2 Base Là Leetswap Bị Exploit

Hảo Nhi

LeetSwap, sàn DEX lớn nhất trên layer-2 Base, đã phải tạm ngưng giao dịch để điều tra báo cáo có lỗ hổng bảo mật.

Sàn DEX hàng đầu trên layer-2 Base là LeetSwap bị exploit

Theo thông báo đăng tải trên Twitter, LeetSwap cho biết đã tạm ngừng tất cả hoạt động giao dịch vào sáng ngày 01/08 để điều tra báo cáo rằng một số pool thanh khoản bị exploit.

As our DEX is forked from Solidly, our factory had a security pause function.

We noticed that some pool liquidity might have been compromised and we temporarily stopped the trading to investigate.
— LeetSwap (@LeetSwap) August 1, 2023

Đơn vị bảo mật PeckShield sau đó đã đăng tải bằng chứng cho thấy một pool thanh khoản trên LeetSwap bị lợi dụng kẽ hở để rút đi 340 ETH, tương đương 630.000 USD.

#PeckShieldAlert Our community contributor has reported that LP pairs on #Base have been exploited for approximately 340 ETH (~$630K). https://t.co/U1nGmuwSGj pic.twitter.com/1dcXHZdbth
— PeckShieldAlert (@PeckShieldAlert) August 1, 2023

Chuyên gia nghiên cứu Igor Igamberdiev của Wintermute nhận định rằng lỗ hổng đến một hàm trong mã của các pool trên LeetSwap, cho phép người dùng rút toàn bộ thanh khoản trong pool chỉ sau một vài thao tác đơn giản.

It was easy:

- swap a bit of WETH for X tokens (should have fees)
- call _transferFeesSupportingTaxTokens(address, uint256) to move token to a Fees contract
- call sync()
- swap X tokens for all WETH from the pool

Don't think that this function should be public

GG WP pic.twitter.com/a7vXvWf0HY
— Igor Igamberdiev (@FrankResearcher) August 1, 2023

LeetSwap đang là sàn DEX hàng đầu trên Base, layer-2 phát triển bởi sàn giao dịch Coinbase, mới ra mắt mainnet vào giữa tháng 7. Đây cũng là nền tảng chứng kiến sự nổi lên của BALD, memecoin đã pump dữ dội trong ngày 30/07, rồi rug pull vào ngày 31/07.

Dù Base vẫn còn mới và chưa có cầu nối cross-chain riêng biệt, layer-2 vẫn chứng kiến lượng tiền đổ qua đáng kể với hơn 50 triệu USD trong 72 giờ gần nhất. Tuy nhiên, trong đó có không ít thành phần xấu, đơn cử như một địa chỉ ví đã rug pull 29 memecoin, thu về 1 triệu USD từ số vốn 100.000 USD bỏ ra ban đầu.

An address deployed 29 meme coins on @BuildOnBase and rugged every one of it.

It deposits 55.51 $ETH ($103K) to #base and now the total portfolio value is ~$1.07M.

It's also a series rug-puller on #bsc & #Arbitrum https://t.co/NpZGwkPlTz pic.twitter.com/IORzKMWX8c
— Scopescan (? . ?) - Previously 0xWatchers (@0xScopescan) July 31, 2023