Table of Contents
Exploração de Segurança no Protocolo de Staking Bedrock
A exploração de segurança no protocolo de staking conhecido como Bedrock permitiu que usuários trocassem Universal Bitcoin—um Bitcoin embrulhado na plataforma—por Ethereum em uma proporção de 1:1, apesar de uma diferença de preço superior a $60,000.
Impacto do Exploit Financeiro
O exploit, que agora foi “resolvido“, resultou em um roubo estimado de $2 milhões do protocolo, principalmente de pools de liquidez em exchanges descentralizadas. O protocolo de staking declarou que está trabalhando para recuperar os fundos perdidos, que um plano de reembolso está sendo “finalizado” e que compartilhará a prova de reservas “assim que estiver disponível.”
Notificação de Vulnerabilidade e Falhas na Auditoria
A Dedaub, firma de segurança terceirizada, notificou a Bedrock sobre a vulnerabilidade horas antes do ataque—mas a maioria da equipe estava dormindo, o que impediu qualquer ação atempada. A vulnerabilidade surgiu como parte de uma atualização de contrato que ocorreu 36 horas antes do ataque, causando uma incompatibilidade na taxa de câmbio entre Ethereum e Bitcoin.
A Bedrock confirmou ao Decrypt que o contrato inteligente em questão não foi auditado antes de sua implantação. Um porta-voz observou que os contratos inteligentes da plataforma geralmente são auditados por firmas de segurança como Blocksec e Peckshield.
“Infelizmente, não seguimos as convenções rigorosas de obter uma auditoria para isso e pagamos o preço,” disse o porta-voz ao Decrypt. “Estamos assumindo total responsabilidade e vamos compensar totalmente o montante de BTC obtido pelo explorador.”
Minimização de Perdas e Alerta da Comunidade
De muitas maneiras, o protocolo teve sorte de apenas $2 milhões terem sido desviados. Como explicado por Dedaub, o exploit representava uma “vulnerabilidade de mintagem infinita” no token uniBTC, significando que os fundos de todo o protocolo poderiam ter sido totalmente drenados. No entanto, em colaboração com o grupo de hackers éticos Seal 911, as perdas potenciais foram minimizadas ao pausar os protocolos de terceiros expostos.
A Bedrock divulgou no Twitter mais de seis horas após o incidente:
⚠️Important Announcement from the Bedrock Team
We want to inform you that the Bedrock team is aware of a security exploit involving uniBTC. The issue has been handled and funds are SAFU.
We want to reassure everyone that the underlying wrapped BTCs and BTCs in reserves are…
— Bedrock | Bitcoin Restaking LIVE (@Bedrock_DeFi) September 27, 2024
Dados Financeiros e Implicações do Ataque
Na época da redação, o uniBTC estava avaliado em $63,450 enquanto o Ethereum era apenas $2,660, segundo CoinGecko. Isso significa que para cada uniBTC que o atacante mintou, ele teria lucrado mais de $60,000.
A carteira inicial foi financiada por Tornado Cash, um mixer de criptomoedas sancionado pelo Tesouro dos EUA, antes de realizar o exploit às 18:28 UTC na quinta-feira, totalizando $1.8 milhão. Os fundos apropriados foram em seguida enviados para uma nova carteira que agora detém 650 ETH (no valor de $1.73 milhão).
Convite a Hackers Éticos e Futuro do Protocolo
A Bedrock, em uma mensagem, expressou interesse em se comunicar com hackers éticos:
“Gostaríamos de comunicar a você convidando-o a se tornar um hacker ético para o recente incidente,” a mensagem diz. “Você estaria interessado em trabalhar conosco e tornar o protocolo mais seguro? E estamos felizes em trabalhar em uma recompensa pela sua ajuda.”
The hackers éticos utilizam suas habilidades para ajudar a aumentar a segurança das plataformas, identificando explorações. Há inúmeros exemplos de protocolos de criptografia perdendo milhões em ataques, com os fundos posteriormente retornados em um revés de resgate ético.
Por enquanto, no entanto, isso não parece ser o caso para Bedrock, pois a carteira que retém os fundos roubados está inativa.
1. #SegurançaEmProtocolos
2. #ExploraçãoDeCriptomoedas
3. #AuditoriaDeContratosInteligentes
4. #HackersÉticos
5. #MinimizandoPerdasCripto
autor original: Ryan Gladwin
ref:https://decrypt.co/283440/staking-protocol-bug-let-users-swap-one-bitcoin-for-one-ethereum
