Protocolo DeFi dForce sofre ataque de vulnerabilidade de reentrância
Em uma reviravolta chocante, o protocolo de finanças descentralizadas (DeFi) dForce foi vítima de um ataque de vulnerabilidade de reentrada que resultou na perda de ativos criptográficos no valor de US$ 3,6 milhões.
Ataque direcionado ao cofre da dForce na curva de finanças
O ataque visava o cofre do protocolo na plataforma de criador de mercado automatizado (AMM) Curve Finance, que opera nas blockchains Arbitrum e Optimism. A violação foi revelada pela primeira vez pelo usuário do Twitter @ZoomerAnon, que anunciou que a dForce havia perdido aproximadamente US$ 1,7 milhão em uma série de transações de empréstimos rápidos na rede Optimism. Isso foi posteriormente confirmado pela empresa de segurança blockchain PeckShield, que estimou as perdas totais em 2.300 tokens ETH, avaliados em US$ 3,65 milhões.
Ataque de reentrância explicado
Um ataque de reentrância ocorre quando um ator mal-intencionado explora um bug em um contrato inteligente e retira repetidamente fundos transferidos para um contrato não autorizado. Nesse caso, o invasor manipulou o preço do ETH estacado embrulhado no cofre da Curve e liquidou várias posições de empréstimos instantâneos usando o medidor wstETHCRV como garantia. O valor inicial, 0,99 ETH, foi retirado do sistema DeFi RAILGUN Project e transferido através da Synapse Network para Arbitrum e Optimism. No momento da redação deste artigo, os fundos ainda estavam na conta do invasor.
dForce entra em ação
dForce confirmou que o ataque, que estava confinado apenas ao seu cofre wstETH/ETH-Curve, foi contido e todos os cofres foram pausados. O protocolo garantiu aos usuários que os fundos fornecidos a outros cofres, incluindo empréstimos, estão seguros. A plataforma também revelou que o invasor criou uma dívida de protocolo de US$ 2,3 milhões após liquidar 1.031,42 wstETH/ETH na Arbitrum e na Optimum, respectivamente.
dForce oferece recompensa ao atacante
Em um movimento surpreendente, dForce ofereceu uma recompensa ao atacante. Os detalhes da recompensa não foram divulgados ao público.