Bedrock DeFi hackeado por 1.7 M de uniBTC a través de un exploit de contrato inteligente
- El equipo de investigación de Dedaub intentó advertir a Bedrock sobre el contrato defectuoso horas antes del ataque.
- El activo afectado, uniBTC, cayó en los intercambios descentralizados.
- Bedrock declaró que ni WBTC subyacente ni BTC se vieron afectados ni corrieron riesgo.
Bedrock DeFi, un protocolo DeFi basado en Bitcoin con un activo envuelto, fue drenado de 1.7 M. El robo de uniBTC ocurrió apenas un día después de un ataque contra Onyx Finance.
Bedrock DeFi fue explotado por 1.7 M en uniBTC, ya que el pool de restaking fue drenado a través de un exploit de contrato inteligente. Tras investigar el ataque, Bedrock cerró el contrato inteligente problemático, evitando más exploits. El hacker fue capaz de acuñar uniBTC sin límites, potencialmente exponiendo todos los pools y pares de trading relacionados.
El exploit fue descubierto inicialmente por el equipo de análisis de Dedaub, quien intentó contactar inmediatamente a los desarrolladores de Bedrock. Sin embargo, menos de tres horas después, otro atacante aplicó ese conocimiento y creó uniBTC excesivo.
Bedrock DeFi anunció que el exploit solo afectó a uniBTC, otra forma tokenizada de BTC. Las reservas subyacentes permanecen seguras, y el protocolo ha resuelto el problema. La plataforma tiene más de 243 M de dólares en activos apostados de varias redes, incluyendo Bitcoin y Ethereum. Bedrock DeFi tenía como objetivo ofrecer re-apuesta líquida multi-cadena, donde los activos inactivos podrían generar ingresos pasivos.
El activo tokenizado uniBTC es un contrato ERC-20 en la cadena de Ethereum. El BTC envuelto se mantiene en 3,552 direcciones y tiene una capitalización de mercado total de 75.4 M de dólares. Poco después del exploit, algunos de los pares descentralizados vieron una acción extraordinaria.
Existen versiones de uniBTC en un total de ocho redes, y algunos protocolos como Pendle tienen exposición de hasta 30 M de dólares al activo, empatado con el protocolo Corn. Un contrato vulnerable similar para acuñar uniBTC estaba creando amenazas en Ethereum, Binance, Arbitrum, Optimism mainnet, Mantle, Mode, BOB y ZetaChain. Los investigadores de Dedaub advirtieron a Pendle, lo que salvó la mayor parte del valor bloqueado de ser explotado como liquidez de salida.
El hackeo de uniBTC causó algo de contagio en los intercambios descentralizados. Uno de los pools de Uniswap V3 vio el precio caer a $17,889.15, mientras que otro par se negociaba con un descuento menor en 62,311.48 dólares. La versión de Optimism del par descentralizado se desplomó por 90% hasta menos de 18,000 dólares. El activo incluso alcanzó un nuevo mínimo de 5,741.48 dólares. La presión de venta domina, impidiendo intentos de arbitraje, debido a la baja liquidez de los pares.
El colapso de la tasa de intercambio real puede haber dañado más al protocolo, infligiendo también daño reputacional. Horas después del hackeo, uniBTC no había recuperado su paridad con WBTC, que constituye la mayoría de los pares de trading.
Al igual que con otros exploits, comentarios falsos en redes sociales pedían usar un sitio web de revocación. Los usuarios de billeteras enfrentan riesgos adicionales de esos enlaces maliciosos, que podrían drenar los activos restantes.
El hacker explotó la llamada de Bedrock al contrato uniBTC
El exploit afectó al uniBTC envuelto tokenizado, que tiene respaldo en BTC y WBTC reales. Investigadores como Dedaub afirmaron haber notado la función potencial para explotar Bedrock, pero el hackeo ocurrió horas después de la advertencia.
Dedaub señaló que un actor malicioso podría crear uniBTC infinito y atacar vaults y pares descentralizados. El ataque potencialmente afectó a Pendle y Corn, además de Bedrock DeFi. El explotador podía depositar una pequeña cantidad de ETH y acuñar uniBTC a una tasa de cambio dispar. El activo recién acuñado sería totalmente transferible y podría revenderse por más WBTC en Uniswap u otros protocolos descentralizados.
Otro investigador, Chaofan Shou, señaló que el contrato uniBTC era vulnerable a una llamada de función. La suma en riesgo fue drenada con precisión unas pocas horas antes del análisis.
Podrías usar ItyFuzz para generar un exploit completamente funcional que robe hasta 1.7 M de @Bedrock_DeFi uniBTC.
Y todo lo que se necesita es un núcleo de CPU + 0.5s. pic.twitter.com/SMMD1MSbvT
— Chaofan Shou (@Fried_rice) September 27, 2024
Las llamadas a contratos inteligentes siguen siendo uno de los mayores riesgos, especialmente después de impulsar el valor bloqueado en protocolos DeFi. El ataque contra Bedrock DeFi ocurrió mientras el valor total bloqueado del protocolo estaba cerca de un máximo histórico de $243M.
Lo que salvó al protocolo fue la naturaleza no custodial del staking, lo que permitió al hacker robar el activo envuelto y afectar los pools de liquidez de DEX, pero no las reservas subyacentes. El BTC envuelto a menudo usa billeteras frías y no es fácilmente intercambiable de vuelta al activo original.
Bedrock utiliza Babylon Labs y Eigen Layer para lograr su estructura de recompensas. Esos protocolos están desbloqueando de forma segura el valor de BTC y ETH, sin exponer los activos directamente al riesgo. El uniBTC creado también podría usarse en Pendle y Velodrome para lograr rendimientos pasivos.
La mayoría de los ataques en las últimas semanas han sido contra DeFi basado en Ethereum. El ataque actual afectó a un activo derivado de Bitcoin, aunque uno que aún usa la blockchain de Ethereum para la mayoría de las transferencias de valor.
Reporte de Cryptopolitan por Hristina Vasileva
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Hristina Vasileva
Hristina Vasileva se especializa en noticias sobre DeFi, negocios y economía. Se graduó de la Universidad de Sofía con una maestría en Filosofía, después de completar una licenciatura de 4 años en Administración de Empresas, Periodismo y Comunicación Masiva. Ha trabajado para uno de los principales periódicos del país, cubriendo materias primas y resultados corporativos. Actualmente, Hristina es autora de noticias colaboradora en Cryptopolitan.
