بر اساس گزارش ۲۵ جولای شرکت امنیتی بلاک چین CertiK، برنامه وام دهی Era Lend در zkSync با ارزش ۳.۴ میلیون دلار ارز دیجیتال مورد سوء استفاده قرار گرفته است. مهاجم از «حمله ورود مجدد فقط خواندنی» برای تخلیه وجوه استفاده کرد، که نوعی حمله است که فرآیند چند مرحله‌ای را قطع می‌کند و سپس باعث می‌شود که پس از انجام یک اقدام مخرب ادامه یابد. به طور خاص، ورود مجدد «فقط خواندنی»، شرایطی است که وضعیت قرارداد را به‌روزرسانی نمی‌کند.

بر اساس این گزارش، مهاجم با استفاده از حساب خارجی 0xf1D076c9Be4533086f967e14EE6aFf204D5ECE7a، وجوه خود را در دو تراکنش جداگانه تخلیه کرده است. آنها برای دستکاری قرارداد و گزارش مقادیر قدیمی که هنوز به‌روزرسانی نشده بودند، به یک آسیب‌پذیری در «عملکرد callback and _updateReserves» متکی بودند.

Era Lend یکی از شاخه‌های پروژه Syncswap است و CertiK ادعا کرد که سایر پروژه‌های مبتنی بر Syncswap نیز ممکن است در برابر این اکسپلویت آسیب‌پذیر باشند.

Spreek کارآگاه روی زنجیره و کاربر توییتر گزارش دادند که کد Syncswap به کاربر اجازه می‌دهد «رایت کند، سپس قبل از فراخوانی update_reserves تماس بگیرد» که باعث می‌شود اوراکل مقادیر نادرست را گزارش کند.

Spreek همچنین گزارش داد که تیم Era Lend داشته است تصدیق کرد حمله و قراردادهای zkSync پروتکل را برای جلوگیری از سوء استفاده های بیشتر متوقف کرد.

یکی دیگر از محققین بلاک چین که در توییتر با نام Saul شناخته می شود، گزارش داد که این حمله انجام شده است متأثر، تحت تأثیر، دچار، مبتلا stablecoin USDC+ که توسط پروتکل Overnight Finance صادر می شود. به گفته سائول، تیم Overnight این قرار گرفتن را پذیرفته و قراردادهای خود را نیز متوقف کرده است. ممکن است بیش از 261000 دلار یا 7.86 درصد از کل ارزش وثیقه پشتوانه استیبل کوین از دست رفته باشد.

در پست وبلاگ 7 ژوئن توضیح دادن یادداشت‌های افسر محقق بلاکچین با نام مستعار که چگونه حملات ورود مجدد فقط خواندنی انجام می‌شود بیان کرد که تشخیص این آسیب‌پذیری‌ها برای حسابرسان دشوار است، زیرا «معمولاً، حسابرسان و شکارچیان اشکال فقط به نقاط ورودی توجه می‌کنند که وضعیت را در هنگام جستجوی ورود مجدد تغییر می‌دهند».

برای کمک به کاهش این مشکل، Officer’s Notes توصیه می کند که حسابرسان از نرم افزارهای تخصصی برای کمک به آنها در یافتن این آسیب پذیری ها استفاده کنند.

Era Lend روی شبکه zkSync اجرا می‌شود، مجموعه‌ای از لایه ۲ اتریوم با دانش صفر. در ماه آوریل، ارزش کل شبکه قفل شد به بیش از 110 میلیون دلار رسید. توسعه دهندگان این شبکه قصد دارند ایجاد یک اکوسیستم زنجیره‌های قابل همکاری به نام «هایپرچین» تا پایان سال.