Protocolo Orion hackeado por US $ 3 milhões por meio de ataque de reentrância

O Orion Protocol – um agregador de liquidez para exchanges CeFi e DeFi – teve seu contrato principal hackeado na quinta-feira em suas implantações Ethereum e Binance Smart Chains (BSC). 

O hacker arrecadou mais de 1700 ETH, acumulando mais de $ 3 milhões no momento da escrita. 

Outro hack de reentrância

As explicado pela empresa de segurança blockchain PeckShield no Twitter, o hack de quinta-feira foi possível “devido à proteção de reentrada incompleta”. Um bug de reentrada refere-se a quando um invasor pode retirar fundos repetidamente de um contrato inteligente sem nenhum custo. 

PeckShield elaborou que a função swapThroughOrionPool permite que qualquer pessoa com tokens criados sequestre sua transferência para entrar novamente na função de ativo de depósito. Isso permite que os usuários aumentem seu saldo sem nenhum custo real de fundos. 

Nesse caso, o hacker usou um token recém-construído chamado ATK e um contrato inteligente autodestrutivo para manipular os pools de Orion. 

4/ O hack é iniciado primeiro no BSC com fundo inicial 0.4 BNB de @TornadoCash. O hack ETH extrai o fundo inicial 0.4 ETH de @SimpleSwap_io. Após o hack, o ganho de 1100 ETH é depositado em @TornadoCash e outros 657 ETH permanecem na conta do hacker: https://t.co/wGG6RA0qii pic.twitter.com/lRj9HGEgQc

- PeckShield Inc. (@peckshield) 3 de fevereiro de 2023

Alexey Koloskov, CEO da Orion, publicou um fio explicando o exploit logo após sua ocorrência. 

“Temos motivos para acreditar que o problema não foi resultado de nenhuma falha em nosso código de protocolo principal, mas pode ter sido causado por uma vulnerabilidade na mistura de bibliotecas de terceiros em um dos contratos inteligentes usados ​​por nossos corretores experimentais e privados. ," ele disse. 

Koloskov observou que o contrato explorado não era de grande importância para o público, mas era usado principalmente por um de seus corretores experimentais com o tesouro da empresa. Os fundos do usuário, disse ele, são 100% seguros. 

No entanto, a função Depósito do Orion foi fechada e não será reaberta até que o bug seja corrigido e as auditorias apropriadas tenham ocorrido. 

O DeFi Honeypot

O dinheiro roubado por meio de hacks DeFi está crescendo com o tempo: em 2022, US$ 3.8 bilhões foram roubados, com US$ 1.7 bilhão em criptomoedas tomado apenas por hackers norte-coreanos. 

Grande parte desse dinheiro foi levado pelo grupo norte-coreano Lazarus, que é suspeita ter executado o hack da ponte Harmony de $ 100 milhões em junho. 

Alguns dos alvos mais lucrativos para hackers criptográficos são as pontes blockchain – onde as criptomoedas que suportam suas variantes tokenizadas que circulam em outras blockchains são armazenadas.

 Em outubro, a Binance Smart Chain (BSC) foi pausada pelos validadores depois que um hacker cunhou 2 milhões de BNB (no valor de US$ 600 milhões na época) do nada, explorando a ponte blockchain. Grande parte do BNB foi rapidamente levado embora para outras cadeias no rescaldo.