Comunidade está preocupada com a recorrência de casos semelhantes. Imagem: Ron Lach/Pexels.
Após a Liquid Network sofrer um ataque de 4.000 bitcoins, dois outros projetos relataram problemas parecidos em suas operações nesta semana. A recorrência desses ataques preocupa a comunidade.
O primeiro deles envolve o roubo de 40,65 bitcoins (US$ 3,2 milhões) pela criação deste valor em nBTC (Nomic Bitcoin), um token atrelado ao Bitcoin na rede Nomic, sem lastro.
O segundo envolve uma quantia menor, de US$ 140 mil, em stablecoins roubadas da Zentra Finance, que opera na rede Citrea.
Além da soma de US$ 3,2 milhões, o que chama a atenção no ataque ao Nomic Bitcoin (nBTC) é que o incidente passou despercebido por 74 dias até que a equipe do projeto tivesse ciência da perda.
O caso foi compartilhado pela Osmosis nas redes sociais na quarta-feira (9).
“Recentemente, tomamos conhecimento de um exploit na blockchain da Nomic. O exploit permitiu que o invasor gastasse nBTC duas vezes, possibilitando o envio de vouchers falsos para a Osmosis. A Osmosis e o IBC não foram comprometidos, pois o problema estava em um mecanismo personalizado de encaminhamento da Nomic. 39,84 nBTC do total emitido estão dentro do Alloyed BTC, representando aproximadamente 36% de sua garantia.”
No tuíte acima, a Osmosis também afirma ter congelado as entradas e saídas tanto da Nomic quanto do Alloyed BTC (AllBTC, uma cesta de diferentes tokens de Bitcoin) e realizado uma atualização emergencial para congelar os 22,65 BTC em allBTC no endereço do invasor.
O texto explica que 17,19 bitcoins foram retirados da Osmosis e enviados ao Tornado Cash.
Em artigo publicado nesta quinta-feira (10), a Osmosis apresentou um plano para tapar esse buraco.
Já a Citrea divulgou na quarta-feira (9) um problema semelhante. Segundo os desenvolvedores, hackers roubaram cerca de 140 mil ctUSD e 30 USDC.e após explorar uma falha do comando ‘repayWithATokens’ da Zentra Finance.
Em nota, a Zentra explica que era possível explorar uma vulnerabilidade durante o pagamento de empréstimos on-chain.
“A análise das transações e dos contratos identificou um resultado contábil inconsistente entre os caminhos do Pool, aToken e token de dívida durante o ‘repayWithATokens’. Em um caso específico de limite, o caminho da dívida podia ser concluído enquanto a queima correspondente de aTokens era reduzida a zero. Dessa forma, a reserva não recebia nenhum valor pela redução da dívida registrada pelo Pool.”
No caso do ataque, os desenvolvedores explicam que o hacker usou 200 mil USDC.e de liquidez externa de flash loan como garantia temporária para tomar um empréstimo em ctUSD.
O texto aponta que a quantia roubada corresponde a cerca de 10,2% do lastro de sua moeda. Sobre o plano de recuperação, a Zentra afirma que reduzirá temporariamente o saldo de todos os detentores de zctUSD nessa mesma porcentagem enquanto busca uma solução melhor.
Por fim, com tantos casos parecidos acontecendo nos últimos meses, investidores se mostram preocupados em usar soluções alternativas a grandes projetos já consolidados.
