Mais um protocolo de finanças descentralizadas (DeFi) dForce sofreu um ataque hacker na semana passada. Dessa vez foi o protocolo dForce, que perdeu US$ 3,6 milhões em criptoativos, ou cerca de R$ 18,7 milhões em valores atuais.
O invasor mirou no cofre do protocolo na plataforma de criador de mercado automatizado (AMM) Curve Finance, que opera nas blockchains Arbitrum e Optimism. Em seguida, realizou um “ataque de reentrância” para realizar empréstimos e conseguir roubar os fundos
- Leia também: PayPal suspende seu projeto de stablecoin
Ataque rouba R$ 18 milhões
O ataque começou na sexta-feira passada (10), quando o usuário do Twitter @ZoomerAnon anunciou que a dForce havia perdido cerca de US$ 1,7 milhão em uma série de transações. Essas transações envolveram empréstimos rápidos na rede Optimism.
Eventualmente, a empresa de segurança em blockchain PeckShield confirmou o ataque e aumentou as projeções de perda. De acordo com a empresa, o hacker conseguiu roubar 2.300 Ether (ETH), que correspondem ao valor final de R$ 18,7 milhões.
Um ataque de reentrada ocorre quando um hacker explora uma falha em um contrato inteligente e retira repetidamente os fundos transferidos. Nesse sentido, o hacker moveu o dinheiro para outro contrato inteligente, mas que não tinha autorização do dForce.
Sabe-se publicamente que tais ataques ocorrem em protocolos vinculados ao Curve, enquanto o AMM permanece intocado.
A PeckShield explicou ainda que o hacker manipulou o preço do token Staked ETH (stETH) embrulhado no cofre Curve (wstETHCRV-gauge). Em seguida, ele conseguiu liquidar várias posições de empréstimos instantâneos usando os stETH no cofre como garantia.
Inicialmente, o hacker sacou um valor inicial baixo, apenas 0,99 ETH. Para esse saque, o hacker utilizou o protocol RAILGUN Project, por meio da Synapse Network. Em seguida, transferiu os fundos para as redes Arbitrum e Optimism. Até o momento, os demais fundos ainda estavam na conta do hacker.
dForce oferece recompensa ao hacker
Após a PeckShield confirmar o ataque, o dForce também confirmou a ação. A equipe do protocolo disse que o ataque atingiu somente o cofre wstETH/ETH-Curve, pois a equipe conseguiu conter a ação. Todos os outros cofres foram pausados e os fundos fornecidos a eles, incluindo empréstimos, estavam seguros.
A plataforma também divulgou que o explorador criou uma dívida de protocolo de US$ 2,3 milhões após liquidar 1.031,42 wstETH/ETH na Arbitrum e Optimum, respectivamente.
“Entramos em contato com a empresa de segurança Slow Mist e nossos parceiros de ecossistema para investigar o assunto e gostaríamos de oferecer uma recompensa ao explorador se os fundos fossem devolvidos. Fique ligado para mais atualizações”, disse a dForce.
- Leia também: Paxos não emitirá mais a stablecoin da Binance BUSD