- Los piratas informáticos de contratos inteligentes se dirigieron a los proyectos DeFi fusionados Rari Capital y Fei Protocol para robar casi $ 80 millones durante el fin de semana
- En lugar de buscar financiación de capital de riesgo para compensar las pérdidas, la DAO de la tribu, que gestiona su gobierno, puede votar para que los usuarios estén completos.
La criptoplataforma Fei Protocol espera que una recompensa de $10 millones “sin hacer preguntas” estimule a los piratas informáticos a devolver casi $80 millones de activos digitales robados durante el fin de semana.
Fei, el emisor de monedas estables que se fusionó con la empresa de préstamos criptográficos Rari Capital hace solo cinco meses, hizo el petición en Twitter horas después de que se detectara el sábado el exploit, en el que los piratas informáticos se infiltraron en los grupos de préstamos de la plataforma.
“Somos conscientes de un exploit en varios grupos de Rari Fuse. Identificamos la causa raíz y detuvimos todos los préstamos para mitigar más daños”, tuiteó Fei Protocol. “Al explotador, por favor acepte un [$10 million] recompensa y sin preguntas si devuelve los fondos restantes del usuario “.
El hacker de Rari aprovechó un crítico “reentrada” error enterrado en lo profundo del código del protocolo. Estos errores involucran contratos inteligentes que se llaman entre sí para mover fondos sin los controles apropiados.
Para su base de código, Fei bifurcó (léase: copió) la plataforma de mercado monetario Ethereum Compound a principios de 2021. Compound permite préstamos criptográficos mediante la valoración de activos digitales. Determina automáticamente los límites de préstamo y mide las condiciones del mercado para calcular el interés.
Fei hizo ciertos cambios en el código, sin embargo, a pesar de las auditorías, la falla no se descubrió hasta que fue demasiado tarde.
Las horquillas compuestas tienen sufrido destinos similares en el pasado. Rari incluso pagado $2 millones para investigadores de seguridad que habían descubierto una falla casi idéntica en marzo.
El intercambio descentralizado Uniswap, la plataforma DeFi Cream Finance y The Dao, entre otros proyectos, han sido víctimas de ataques de reingreso que datan de 2016.
Rari también perdió $ 11 millones a manos de piratas informáticos con contratos inteligentes en un ataque no relacionado en mayo pasado, entonces alrededor del 60% del capital del protocolo.
En este caso, los grupos de préstamo de Rari Fuse (que facilitan el préstamo de tokens ERC-20 relacionados) no pudieron realizar un seguimiento de la cantidad de criptomonedas que se habían prestado.
La configuración permitió ilegítimamente el préstamo de grandes cantidades de criptomonedas, el retiro de la garantía del préstamo y la retención de fondos prestados. según el auditor de contratos inteligentes CertiK.
Los piratas informáticos prestaron rápidamente $ 150 millones en moneda estable USDC y 50,000 WETH ($ 141.5 millones) para impulsar más préstamos criptográficos de siete grupos Rari Fuse.
Después de activar una función de contrato inteligente “exitMarket” con errores, retiraron la garantía, reembolsaron el préstamo flash y se quedaron con los fondos “prestados” de Rari Fuse. Los piratas informáticos repitieron este proceso hasta que acumularon aproximadamente USD 80 millones en criptomonedas.
Rari capital más tarde revelado otros 100 ETH habían sido pirateados el domingo de un grupo Fuse en la plataforma Ethereum de capa 2 Arbitrum.
El director de tecnología de BlockSec, Lei Wu, confirmó a Blockworks que 5400 ETH del alijo robado se habían enviado al mezclador de criptomonedas Tornado Cash.
Los fondos robados pertenecen esencialmente a los usuarios de Rari Fuse que habían prestado su criptografía. Con esto en mente, Fei Protocol no es exactamente la víctima, a pesar de que el exploit apunta a su código fuente.
El desarrollador de Rari, Jack Longarzo, le dijo a Blockworks que la plataforma Fuse de Rari y la tribu DAO que administra el gobierno de Fei y Rari son las verdaderas víctimas. De hecho, Tribe DAO puede deliberar si liberar fondos de sus tesorerías para que los usuarios de Rari Fuse estén completos. Su tesorería actualmente tiene un valor de $ 104 millones, según Organizaciones abiertas.
Si bien aún no hay una propuesta formal de rescate (y Longarzo no quiso comentar si se estaba trabajando en una), tal movimiento contrastaría marcadamente con los rescates financiados por VC de otras plataformas DeFi en conflicto como Wormhole y Ronin, que generalmente han involucrado toma de decisiones más centralizada y privada que un voto comunitario.
Pero hay algunos indicios de que los participantes de Tribe DAO pueden estar perdiendo la fe. El token nativo de DAO, TRIBE, ha bajado un 20 % desde que se reveló el ataque por primera vez.
Reciba las principales noticias e información sobre criptografía del día en su bandeja de entrada todas las noches. Suscríbase ahora al boletín informativo gratuito de Blockworks.
-
david canellis
Bloques
Editor
