Giao thức cho vay dựa trên Ethereum là Inverse Finance (INV) đã công bố vào thứ bảy tuần trước rằng họ vừa trở thành nạn nhân của một vụ hack. Theo đó, kẻ tấn công đã thành công chiếm đoạt 15,6 triệu USD tiền điện tử. Đây cũng là vụ tấn công giao thức tài chính phi tập trung (DeFi) trị giá hàng triệu đô thứ 3 trong thời gian gần đây.
Công ty bảo mật blockchain PeckShield cho biết, hacker đã lợi dụng exploit trong Keep3r price oracle mà Inverse sử dụng để theo dõi giá token. Chúng đánh lừa oracle rằng giá của token INV đang rất cao và sau đó thực hiện các khoản vay trị giá hàng triệu USD bằng cách dùng INV làm tài sản thế chấp.
Để bắt đầu, hacker đã rút 901 ETH (khoảng 3 triệu USD) từ Tornado Cash rồi bơm vào một số cặp giao dịch trên sàn SushiSwap để làm tăng giá INV. Khi Keep3r price oracle kiểm tra được INV đủ cao, hacker thế chấp token này để thực hiện các khoản vay trên Anchor. Một đại diện từ PeckShield cho biết đây là một cuộc tấn công có rủi ro cao vì số tiền điện tử trị giá 3 triệu USD được dùng để lừa oracle kia sẽ mất trắng nếu giá INV giảm về mức bình thường trước khi hacker vay.
Được biết hacker đã cuỗm được 1.588 ETH, 94 WBTC, 39 YFI và 3.999.699 DOLA sau vụ hack. Phần lớn số tiền đã chuyển qua Tornado Cash để xóa dấu vết, điều đó có nghĩa sẽ rát khó để biết nguồn tiền sẽ đi đến đâu. Còn khoảng 73,5 ETH (khoảng 250.000 USD) hiện vẫn đang nằm trong ví Ethereum ban đầu của kẻ tấn công.
Inverse cho biết họ đã tạm dừng tất cả các khoản vay trên Anchor và hiện đang làm việc với Chainlink để xây dựng một INV oracle mới. Iverse cũng thông báo rằng họ dự định đưa ra đề xuất với DAO để đảm bảo các ví bị ảnh hưởng đều được hoàn trả 100%.