Plataforma de empréstimos Ethereum XCarnival confirmado um mau ator roubou US$ 3.8 milhões ou 3,087 ETH. De acordo com um relatório da empresa de segurança on-chain Peck Shield, um hacker explorou uma vulnerabilidade no contrato inteligente do protocolo emprestando ETH e criando “múltiplas ordens de promessa para prometer BAYC (Bored Ape Yacht Club NFTs) muitas vezes”.
Leitura Relacionada | Morgan Creek disse estar em oferta para garantir US $ 250 milhões para combater o resgate do FTX BlockFi
O XCarnival opera como um pool de empréstimos de tokens não fungíveis (NFT). A plataforma permite que os detentores de NFT depositem seus ativos em troca de liquidez. Esse processo envolve três contratos inteligentes: um gerenciador de NFT, um P2Controller para gerenciar as restrições de empréstimos e o armazenamento de fundos, conforme estabelecido por outra empresa de segurança Go+ Security.
O hacker comprou o item 5110 da popular coleção Bored Ape Yacht Club NFT no OpenSea. Mais tarde, ele depositou esse ativo no XCarnival e realizou um ataque para “usar o mesmo NFT para empréstimo”.
Em outras palavras, o invasor foi capaz de penhorar o NFT, pedir emprestado o ETH e, em seguida, remover o NFT sem pagar o empréstimo. O mau ator completou esse processo várias vezes até que a piscina fosse drenada.
A Go+ Security explicou que o hacker criou um contrato inteligente Master e vários contratos inteligentes “escravos” para conduzir o ataque:
Em seguida, o Slave 5338 retirou o NFT e o enviou de volta ao Master, que então repetiu esse processo com outros Slaves. Dessa forma, eles criaram muitos orderIDs, que posteriormente podem ser usados como credenciais de empréstimo. Mas o contrato xNFT bugado não revogou a credencial após a retirada.
XCarnival's operado com uma vulnerabilidade em seus contratos inteligentes, mencionados acima, que possibilitam o ataque caso o usuário permaneça dentro de um determinado. Go+ Security adicionado ao ataque e à vulnerabilidade do contrato inteligente: “A garantia ainda é válida após a retirada. Este é um bug muito simples e ingênuo na implementação do contrato.”
À luz do ataque bem-sucedido, o protocolo de empréstimo NFT baseado em Ethereum decidiu oferecer um acordo ao hacker.
Plataforma Ethereum faz acordos com seu atacante
De acordo com sua conta oficial no Twitter, o XCarnival ofereceu ao hacker uma recompensa de 1,500 ETH ou US$ 1.8 milhão. Metade dos fundos roubados. O atacante só precisava devolver a outra metade e eles ficaram com o dinheiro e não sofreram consequências legais.
A equipe por trás da plataforma confirmou que o hacker concordou com os termos. Metade dos fundos roubados foram devolvidos ao pool. A plataforma de empréstimos Ethereum afirma que “as agências de segurança determinaram provisoriamente a localização geográfica do hacker”.
Esta declaração parece sugerir possíveis consequências legais para o invasor, mas a equipe por trás deste projeto ainda não forneceu mais informações.
7/8 Fundos devolvidoshttps://t.co/oRwSsGgT6U pic.twitter.com/YgXZ9DTj03
— Tal Be'ery (@TalBeerySec) 27 de Junho de 2022
Esta não é a primeira vez que um hacker concorda em devolver uma parte ou o valor total dos fundos roubados. Alguns hackers atacam plataformas de finanças descentralizadas (DeFi) e muitas vezes mantêm o dinheiro como refém até receberem o pagamento pelo que consideram um “serviço”. Outros projetos têm menos sorte e pagam o preço final.
Leitura Relacionada | Harmony oferece recompensa de US $ 1 milhão pelo retorno de US $ 100 milhões em fundos roubados - é suficiente?
No momento da redação deste artigo, o Ethereum (ETH) é negociado a US$ 1,180 com uma perda de 3% nas últimas 24 horas.
Fonte: https://bitcoinist.com/ethereum-platform-attacked-made-deal-the-hacker/