Una defi dapp con más de 500 millones en activos bloqueados dice que fue atacada económicamente.
“El ataque económico se realizó a través del pool de curva y, estirando el precio de las monedas estables en Curve fuera de proporción y depositando y retirando una gran cantidad de activos a través de la cosecha ", dijeron en un anuncio, y agregaron:
" En este punto … para proteger a los usuarios, el 100% de los fondos de estrategia de curva de Stablecoin y BTC se han retirado de la estrategia a la bóveda. [19659002] Siguiente: para proteger a los usuarios, vamos a bloquear los depósitos en la bóveda de Stablecoin y BTC. Los depósitos existentes continuarán generando FARM.
Al igual que otros ataques recientes de préstamos urgentes, el atacante devolvió $ 2,478,549.94 al implementador en forma de USDT y USDC.
Esto se distribuirá a los depositantes afectados prorrateando utilizando un instantánea.
Pasos de acción completados:
1) Todos los fondos retirados de la curva a la bóveda
2) Depósitos desactivados para monedas estables y BTC
3) Precio de la acción en fUSDC: 0.834998
Precio de la acción en fUSDT: 0.844731
4) TUSD, DAI, WBTC, RENBTC y otros depósitos no se ven afectados
5) Todas las bóvedas existentes están estabilizadas
A continuación, estamos trabajando en rastrear al atacante. direcciones BTC del atacante Flashloan:.
1Paykw4s2WX4SaVjDrQkwSiJr16AiANhiM
1HLG86DDEzAxAGmEzxr1SUfPCWcnWA6bMm
14stnrgMFNR4LesqQRUdo5n1VUx9xdAMeg
18w2Bm2cCsbLjWQU9BcnjzK8ErmzozrVa3
1FS2t2eAjmjaNmADN6SMHYo7G4XGpX1osS
1NdAJ89k1qpRMpZLwuYGQ7VnM45xD2NJXa
1CLHhshrusvT4XADWA29R2H4ndsSUamEWn
Todos los fondos de los hackers están en los BTC carteras
Además de las direcciones BTC que contienen los fondos, ahora hay una cantidad significativa de información de identificación personal sobre el atacante, que es bien conocido en la comunidad criptográfica.
Estamos ofreciendo una recompensa de 100k por la primera persona o equipo para llegar al atacante y ayudar al atacante a devolver los fondos a la dirección del desplegador.
No estamos interesados en doxxing al atacante, se respeta su habilidad e ingenio, simplemente devuelva los fondos a los usuarios.
Nosotros publicará un informe post mortem en las próximas 16 horas y trabajará en la mitigación de riesgos futuros estrategias de iones contra ataques económicos flashloan, incluida la evaluación de opciones de seguros, así como estrategias de reparación.
Para el atacante: ha demostrado su punto, si puede devolver los fondos a los usuarios, sería muy apreciado por la comunidad , incluidos muchos espectadores ".
Afirman:" Al igual que otros ataques económicos de arbitraje, este se originó con un gran préstamo flash y manipuló los precios de un lego de dinero (curva y fondo común) para drenar otro lego de dinero (fUSDT, fUSDC), muchas veces.
El atacante luego convirtió los fondos a renBTC y salió a BTC.
Como otros ataques flashloan, el atacante no dio tiempo para responder, realizando el ataque en 7 minutos de punta a punta ”.
Sin embargo, no pudimos encontrar una transacción de flashloan basada en la dirección que proporcionaron, y nunca hemos oído hablar de un flashloan en siete minutos.
Los flashloans como usted sabe son contratos inteligentes que deben ejecutarse en todos los bloques con el préstamo reembolsado al final de th La ejecución que efectivamente asciende a inminente.
En cambio, esta persona parece haber recibido unos $ 24 millones que realizan numerosos intercambios "manuales", en lugar de una ejecución de un préstamo flash de un bloque.
Tampoco está claro cómo se produjo este drenaje de Farm USDC ( fUSDC) se realizó sobre la base de la manipulación de y Curve con la posibilidad de que se explotara algún error.
Se especula que esto podría ser un tirón, ya que Harvest es un equipo anónimo que además tiene control sobre los 500 millones de activos.
"Esos [then] $ 1.1 mil millones están en contratos inteligentes que pueden ser agotados con una clave de administrador en poder de un desarrollador anónimo", dijo Chris Blec, un investigador de seguridad, hace apenas tres días.
El equipo no parecen ser muy receptivos a su discordia, pero hay sugerencias de que se ha enviado 23 BTC a Binance. No lo hemos verificado.
El precio de Ethereum cayó a $ 404 mientras que Farm, el token de Harvest, bajó de $ 230 a menos de $ 100 antes de cotizar actualmente a $ 115.