Неизвестные взломали пул вознаграждений платформы NovaBox в сети Эфириума и вывели около 56,73 🔹ETH, затронув более 130 депозиторов.
Пул истощён на 99,86% — с 65,11 ETH до 0,09 ETH — всего за одну транзакцию.
Причина не в смарт-контракте, а в слабом механизме распределения наград:
🟠Хакеры взяли флэш-кредит 427,5 WETH через 👻Aave V3.
🟠Система выплачивает дивиденды до обновления баланса доли клиента.
🟠Злоумышленники внесли небольшую сумму в NOVA, запустив расчёт дивидендов, а затем отправили крупный депозит в 🔹ETH.
🟠NovaBox не успел обновить их долю и рассчитал дивиденды по старому, маленькому балансу, но выплатил их на новый, большой объём средств.
Так возник «фантомный дивиденд», что и позволило вывести средства.
Bits.media