Hackers atacan la bifurcación Flooring Protocol Asterisk mientras se propaga la contagio
- Una explotación vació aproximadamente 40.000 $ de Asterix, una bifurcación de Flooring Protocol, utilizando la misma vulnerabilidad que costó a Flooring más de 900.000 $ un día antes.
- Investigadores de 'white hat' liderados por Yuga Labs recuperaron alrededor de 500.000 $ en NFTs de los pools de Flooring.
- Los ataques consecutivos destacan el riesgo de que las bases de código bifurcadas hereden fallos de seguridad sin parches durante un año en el que las pérdidas por explotaciones cripto ya superan los 340 millones de $.
El exploit del Protocolo Flooring del 8 de junio tuvo una secuela más temprano hoy cuando Asterix, una bifurcación de la plataforma de liquidez NFT, se convirtió en víctima de un exploit que drenó aproximadamente $40.000 en activos.
Las noticias del exploit enturbian el ánimo después de que investigadores de sombrero blanco reportaran haber ayudado a recuperar más de $500.000 en NFTs de alta calidad del mismo fallo de los contratos de Flooring que parece haberse utilizado para entrar en Asterisk.
La vulnerabilidad del Protocolo Flooring se extendió a Asterisk a través de código bifurcado
Un miembro de la firma de seguridad blockchain BlockSec, Phalcon, fue uno de los primeros en notar las similitudes entre el vector de ataque de Asterix y la falla que permitió a los atacantes drenar los pools del Protocolo Flooring el 8 de junio.
Phalcon dijo que el ataque al Protocolo Flooring se ejecutó esencialmente de nuevo en Asterix porque este último aparentemente fue bifurcado de DN404/BT404, un estándar de token que combina mecánicas fungibles y no fungibles.
Los informes iniciales sobre el incidente de Flooring tenían números de pérdidas por encima de $900.000 antes de las intervenciones de sombrero blanco ayudar a recuperar alrededor de $500,000.
Asterix ya ha confirmado la brecha en un Comunicado en X, reconociendo que un exploit había golpeado el contrato del token $ASTX alrededor de las 4 a.m. GMT+8. El equipo dijo que estaba investigando y publicaría un informe póstumo completo una vez que el análisis estuviera completo.
¿Cómo ocurrió el exploit de Flooring?
El Protocolo Flooring, que cerró operaciones el año pasado, permitía a los usuarios depositar NFTs en pools y recibir tokens fungibles vinculados uno a uno con esos activos bloqueados.
El ataque al Protocolo Flooring que desde entonces ha comenzado a propagarse explotó una falla en el sistema de contabilidad estilo BT404 de la plataforma que el VP de Blockchain de Yuga Labs llamó un fenómeno de "propiedad fantasma" en X.
En términos simples, significa que alguien podría usar un ID de token malicioso para pasar una verificación de propiedad y aún reutilizarlo para producir un resultado diferente en otra lógica de contabilidad, causando un problema matemático en el saldo del token.
En este caso, el atacante creó un saldo casi infinito de fpTokens, los tokens fungibles que cualquiera puede usar para reclamar NFTs bloqueados en los pools de Flooring.
Yuga Labs se pone al frente con el esfuerzo de sombrero blanco
Una vez que el drenaje de Flooring se hizo público, el CEO de Yuga Labs, Michael Figge, dijo que la compañía rápidamente lanzó un rescate de sombrero blanco antes de que otro atacante pudiera alcanzar los NFTs vulnerables.
La operación de rescate de NFTs aseguró 68 NFTs valorados en un estimado de 346 ETH (aproximadamente $570.000 en ese momento), incluyendo 29 NFTs de Bored Ape Yacht Club, cuatro Mutant Apes, dos CryptoPunks, un Azuki, dos Elementales, 26 Captains, un Moonbird y dos Doodles.
Super Secret Rare (SSR), un proyecto que detectó su vulnerabilidad después de que Asterisk fuera golpeado, advirtió a los usuarios no interactuar con el pool mientras la situación permaneciera sin resolver.
FreeLunchCapital, el desarrollador detrás de los contratos afectados de Flooring, confirmó que el exploit también golpeó a BitmapPunks, que utilizaba un diseño de contrato similar. Ambos proyectos dependían de tokens fungibles vinculados uno a uno con NFTs bloqueados, lo que los hacía vulnerables a la misma ruta de ataque.
Un exploit tras otro
Los incidentes de Flooring y Asterix se suman a una miserable racha de fallos de seguridad que recorre Web3. Como Cryptopolitan observó en informes anteriores, las pérdidas astronómicas en dólares en abril se incrementaron en un mayor número de incidentes individuales en mayo, alcanzando 60 incidentes de seguridad confirmados que totalizaron $68,3 millones en pérdidas brutas según Certik. PeckShield atribuyó $340,7 millones en pérdidas a 14 exploits de puentes y cadenas cruzadas a partir del 1 de junio.
Los protocolos bifurcados presentan sus propios tipos de dolores de cabeza. Cuando los proyectos downstream copian el código sin auditarlo, una sola vulnerabilidad en la base de código base puede replicarse en múltiples niveles, tal como ocurrió en el caso Flooring, Asterix ahora.
Yuga Labs dijo que los NFTs rescatados serán devueltos una vez que los desarrolladores del Protocolo Flooring completen un parche. 0xQuit advirtió a los usuarios que no depositaran nuevos NFTs en Flooring mientras la vulnerabilidad permaneciera abierta. Para los titulares de Asterix, la pérdida de $40.000 es menor en escala, pero el equipo aún no ha revelado si es posible alguna recuperación.
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.
Preguntas frecuentes
¿Qué es Asterix y cómo está conectado con Flooring Protocol?
Asterix es un proyecto que bifurcó su código de Flooring Protocol y del estándar de token DN404/BT404. Esa base de código compartida significaba que la misma vulnerabilidad explotada en Flooring el 8 de junio pudo ser utilizada contra Asterix al día siguiente.
¿Cuánto se perdió y recuperó en la explotación de Flooring Protocol?
El impacto total de la explotación de Flooring superó los 900.000 $, con investigadores de 'white hat' recuperando aproximadamente 500.000 $ en valor de NFTs, incluyendo 29 Bored Apes y dos CryptoPunks.
¿Qué causó la vulnerabilidad en Flooring Protocol?
Según 0xQuit, VP de Blockchain de Yuga Labs, una falla en el sistema de contabilidad estilo BT404 de Flooring permitió que un ID de token malicioso superara una verificación de propiedad mientras devolvía un resultado diferente en la contabilidad posterior, creando un estado de "propiedad fantasma" que otorgó al atacante un saldo casi infinito de tokens de reclamo.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Hannah Collymore
Hannah es escritora y editora con casi una década de experiencia en la redacción de blogs y la cobertura de eventos en el ámbito de las criptomonedas. En Cryptopolitan, Hannah contribuye a la página de noticias, informando y analizando los últimos avances en DeFi, RWA, regulación de criptomonedas, inteligencia artificial y tecnologías de vanguardia. Se graduó de la Universidad de Arcadia con una licenciatura en Administración de Empresas.
