Tres ataques en cuatro días: el mercado sube, los hackers están más "ocupados"

Ahora no se trata de la narrativa, sino de quién puede acuñar, quién puede modificar parámetros y si hay alguien observando cuando las propuestas están en la cadena.

Escrito por: Mahe, Foresight News

En menos de una semana, tres protocolos de criptomonedas se convirtieron en el blanco de atacantes.

El 20 de agosto, la cadena de pago Keeta Network puso su red principal en modo solo lectura, alegando que un componente único presentaba problemas de seguridad, y luego exigió a los atacantes que devolvieran los fondos en un plazo de 72 horas; el 22 de agosto, el proyecto de metaverso The Sandbox sufrió un ataque de acuñación cruzada, donde los atacantes acuñaron una gran cantidad de SAND en Base y BNB Chain, y el equipo del proyecto cortó el puente entre ambas cadenas, estimando que se habían retirado aproximadamente 670,000 dólares; el 23 de agosto, el protocolo de préstamos a tasa fija Term Finance sufrió una ejecución de propuesta de gobernanza, donde aproximadamente 2,843 ETH y 1.68 millones de USDC fueron transferidos, resultando en una pérdida de aproximadamente 8.5 millones de dólares.

Los tres incidentes son independientes entre sí, con diferentes rutas de ataque, pero ocurrieron en la misma semana.

Keeta: la red principal se ha configurado en modo solo lectura

Keeta es una cadena de pago, y su cofundador y CEO Ty (cuenta de X @schenkty) declaró en una actualización del 20 de agosto que había encontrado la causa raíz del incidente de seguridad, limitándose al componente afectado y no involucrando el sistema de anclaje ni los sistemas de conexión externos; el KTA desplegado en Base no se vio afectado.

Como medida preventiva, la red principal se puso en modo solo lectura, y se reanudará su funcionamiento completo una vez que se complete la prueba del parche y se añadan garantías adicionales. El equipo también indicó que está evaluando cómo compensar completamente a los usuarios afectados y afirmó que las reservas estratégicas pueden cubrir los fondos dañados si es necesario.

La empresa aún no ha publicado el "total robado" auditado. Lookonchain ha detectado una nueva dirección que recibió aproximadamente 9.3 millones de KTA (en ese momento alrededor de 685,000 dólares) y aproximadamente 2 mil millones de GALA a través de un puente cruzado, que luego se vendieron por aproximadamente 1,902 ETH (alrededor de 3.64 millones de dólares).

El 19 de agosto, el precio de KTA cayó de un máximo de 0.09 dólares a un mínimo de 0.05 dólares, con una caída del 37%, y actualmente se ha recuperado a 0.077 dólares.

El 22 de agosto, Ty emitió otra declaración, afirmando que la investigación había avanzado significativamente y que se habían recopilado pruebas que apuntan a los atacantes, incluyendo IPs relacionadas con el ataque, VPN y VPS utilizados, agentes de usuario y entornos técnicos durante las solicitudes no autorizadas, correos electrónicos asociados, así como información sobre proveedores de software e infraestructura; las pruebas han sido guardadas y presentadas a las partes pertinentes. La declaración exigía que devolvieran todas las ganancias en un plazo de 72 horas, pudiendo ser en KTA, ETH o USDC a la dirección de Base. Si se devuelve la totalidad, Keeta está dispuesta a discutir una recompensa por la vulnerabilidad y a cerrar el asunto sin perseguir responsabilidades legales; de lo contrario, se reservan el derecho de tomar acciones legales y recuperar los fondos.

Se promete un informe técnico completo tras la verificación de la investigación. Hasta el 24 de agosto, la red principal sigue en modo solo lectura, los detalles de compensación no han sido publicados y se desconoce si se cumplirá el plazo de 72 horas.

La lección de este incidente no es complicada: cuando una cadena de aplicaciones establece "quién puede modificar permisos" como predeterminado laxo o puede ser eludido, detener la cadena suele ser más rápido que aplicar un parche. Keeta eligió hacer públicas algunas pistas fuera de la cadena y establecer un plazo de devolución, lo cual no es común en los robos de los últimos años, pero si el dinero regresa y si el informe puede coincidir con la cadena, eso será el estándar para evaluar este enfoque.

The Sandbox: acuñación de monedas falsas en cifras astronómicas

El 22 de agosto, el contrato cruzado de SAND de The Sandbox desplegado en Base fue atacado. Los atacantes tomaron el control de las representaciones de LayerZero a través de approveAndCall, acuñando SAND de manera continua sin colateral en la red principal de Ethereum, afectando también a BNB Chain. El núcleo del protocolo LayerZero no fue comprometido.

El equipo del proyecto inmediatamente cortó el puente bidireccional con Base y BNB Chain. Se reportó que la emisión nominal fue de aproximadamente 14.9 mil millones, con una exposición nominal en el mercado de varios cientos de millones de dólares, mientras que la cantidad realmente retirada y monetizada de las reservas de Ethereum fue de aproximadamente 14.75 millones de SAND y alrededor de 80 ETH, equivalentes a aproximadamente 670,000 dólares. El SAND en Ethereum y Polygon, así como las billeteras de los usuarios y el colateral de la red principal, el equipo del proyecto afirmó que no se vieron afectados.

El SAND cruzado utiliza el OFT de LayerZero: la acuñación en el extremo debe corresponder al bloqueo en la red principal, y los nodos representantes deciden quién puede acuñar en la cadena objetivo. La vulnerabilidad se encontraba en el contrato del proyecto en approveAndCall, que se utilizó para modificar los permisos de delegación, lo que permitió que la acuñación cruzada falsa se hiciera efectiva.

La empresa afirmó que la vulnerabilidad ha sido controlada, afectando menos del 0.01% del suministro total, y advirtió a los inversores que no comerciaran SAND en Base o BSC. Los intercambios Upbit y Bithumb han suspendido depósitos y retiros.

Hasta el cierre de esta edición, el precio de SAND ha caído de 0.05 dólares a 0.045 dólares.

Term Finance: propuesta colgada en la cadena durante seis días fue ejecutada, los fondos fueron transferidos según el proceso de gobernanza

Term Finance es un protocolo de préstamos a tasa fija en Ethereum. El 23 de agosto, una transacción de Ethereum ejecutó una propuesta de gobernanza que había estado publicada en la cadena durante aproximadamente seis días. La página de votación no tenía votos en contra. El contenido de la propuesta incluía cerrar el enfriamiento de aproximadamente 7 días de las transacciones (timelock), y luego transferir aproximadamente 2,842 WETH del ETH Meta Vault.

Aproximadamente 20 minutos después, una segunda transacción transfirió aproximadamente 1.68 millones de USDC de cinco bóvedas de USDC y los convirtió en DAI. PeckShield estimó que los atacantes se llevaron aproximadamente 2,843 ETH (en ese momento alrededor de 6.9 millones de dólares) y 1.68 millones de USDC.

Este incidente no fue una reentrada de contrato inteligente ni manipulación de oráculos, sino que la gobernanza siguió el proceso de diseño del protocolo de "presentar---esperar---sin votos en contra---ejecutar". Análisis externos indican que los atacantes, en un contexto de circulación escasa de tokens de gobernanza, obtuvieron casi todos los derechos de voto de una bóveda de estrategia de USDC y aproximadamente el 90% del control sobre el ETH Meta Vault, y luego escribieron la transferencia de fondos como una gobernanza efectiva.

Hasta ahora, Term Labs ha declarado que todas las bóvedas de Term Meta han sido cerradas, el rol de gobernanza de DAO ha sido revocado, y este cierre es irreversible, prohibiendo permanentemente depósitos adicionales. Los retiros aún son posibles. La empresa afirmó que, según la investigación actual, el protocolo subyacente de Term y su mercado de préstamos directos no se vieron afectados, y están coordinando con equipos de seguridad externos para llevar a cabo trabajos de remediación y recuperación.

Los ataques de gobernanza no son infrecuentes en los últimos años. Cuando el poder de voto está concentrado y la participación en las votaciones es baja, este tipo de ataque es especialmente efectivo.

En julio de este año, el tesoro de BonkDAO fue atacado por una propuesta de gobernanza maliciosa, robando tokens BONK por un valor de aproximadamente 20 millones de dólares. La dirección del atacante había comprado BONK a través de una billetera CEX antes de iniciar la propuesta, luego manipuló la votación y finalmente transfirió grandes sumas de dinero según el proceso de gobernanza "público".

Keeta detuvo toda la red principal, cerrando primero los permisos de los componentes, y luego se ocupó de la compensación y la recuperación de 72 horas. Sandbox cortó el puente, y aunque en papel se puede acuñar hasta cifras astronómicas, los fondos que realmente se pueden retirar son aproximadamente solo 600,000 dólares, y la controversia se centrará en cómo se compensará el snapshot de LP. La propuesta de Term estuvo colgada durante seis días, con cero votos en contra, y el período de enfriamiento aún puede ser cerrado por la misma propuesta, y aproximadamente 8.5 millones de dólares fueron transferidos según el proceso de gobernanza.

Ahora no se trata de la narrativa, sino de quién puede acuñar, quién puede modificar parámetros y si hay alguien observando cuando las propuestas están en la cadena.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.