El protocolo Onyx fue hackeado nuevamente por $3,8M mediante una explotación de tipo cambio de tasa
- Onyx Protocol detectó actividad inusual cuando un hacker dirigió un contrato inteligente malicioso a bóvedas con baja liquidez.
- La explotación obtuvo hasta $3,8M, con 300K VUSD ya intercambiados.
- Onyx Protocol, al igual que otros hubs de DeFi, ha heredado las vulnerabilidades de un fork de Curve Finance y es susceptible a explotaciones similares.
La plataforma de préstamos y préstamos de Onyx ha sido explotada por $3,8 millones. Hacken, el centro de auditoría de seguridad, analizó la actividad inusual en la plataforma y estimó la naturaleza del ataque.
Onyx Protocol ha sido afectado por una explotación, perdiendo $3,8 millones. El ataque se logró mediante un contrato malicioso generado por encargo, desplegado solo minutos antes de llamar a Onyx. El hacker logró drenar Virtual USD (VUSD), la stablecoin nativa del protocolo. Este es el segundo hackeo de Onyx desde el 3 de noviembre de 2023, cuando el TVL del proyecto también se desplomó. La explotación llevó a ataques adicionales en redes sociales, con enlaces falsos que afirmaban salvaguardar los activos. El mejor enfoque es interactuar solo con las redes sociales oficiales de Onyx Protocol.
Onyx anunció que VUSD en sí no está afectado y continuará funcionando. Sin embargo, la explotación terminó destruyendo la paridad de la stablecoin, a pesar del colateral adicional. VUSD cayó a un mínimo de $0,39 y no recuperó su nivel nominal de $1 inmediatamente.
Aunque la suma final que el hacker logró retirar es pequeña, las pérdidas del protocolo pueden ser más profundas. El token VUSD tiene una oferta circulante nominal superior a $51M, pero su capitalización de mercado actual está en $19M.
Onyx enfrentó una explotación de precisión de su tipo de cambio
Una de las razones de la explotación de Onyx fue la disponibilidad de pools de baja liquidez. El análisis de Hacken estimó que la explotación se debió a un error de cálculo del tipo de cambio, cuando hay baja liquidez en algunos pares. El hacker preparó un contrato inteligente para intercambiar WETH por Onyx ETH (oETH).
Comenzando con un préstamo de 2.000 WETH de Balancer, el hacker pasó por varios activos cripto. Al mismo tiempo, el contrato malicioso inundó Onyx con una serie de transacciones de ETH de bajo valor. El resultado de los intercambios y transferencias de pools neteó al hacker con 3,8M de VUSD, valorados nominalmente en $3,8M.
La transacción final logró retirar 300K VUSD, que fueron intercambiados por ETH utilizando transacciones divididas de CoW Protocol. Las transacciones causaron algo de deslizamiento y el precio de VUSD fue inferior al nominal de $1, por lo que una de las transacciones salientes fue por $191K.
Otros activos de Onyx también afectados
La serie de ataques contra los pools de Onyx afectó a varios activos. Peckshield identificó transferencias de 4,1M de VUSD, 7,35M de Onyxcoin (XCN), 5k de DAI, 0,23 WBTC, 50k de USDT. Todas las transferencias ocurrieron en una sola transacción, llevada a cabo por el contrato inteligente malicioso.
Onyx es una bifurcación (fork) de Compound V2, que arrastra todos los defectos del protocolo. Onyx mismo ha sido hackeado antes de manera similar, explotando cálculos de valor y el tipo de cambio en pares ilíquidos.
Sonne Protocol fue explotado en mayo, nuevamente debido a defectos conocidos en Compound V2, que afectaron a todos los proyectos bifurcados y no han sido reparados. El defecto se ve siempre que el protocolo inicia nuevos mercados sin fondos. La introducción de nuevos pares en un espacio DeFi dinámico ha multiplicado el problema, lo que ha llevado a varios hackeos.
Debido al error de cálculo, el hacker pudo llamar al contrato inteligente del protocolo y recibir préstamos mucho más grandes a cambio de un colateral insignificante.
El ataque actual a Onyx tiene una estructura similar al hackeo de Sonne Protocol, retirando nuevamente una cantidad sustancial de tokens por un colateral mínimo. La larga serie de 56 transacciones de spam desgastó el tipo de cambio de Onyx, permitiendo nuevamente al hacker retirar todos los fondos por un colateral diminuto.
Hasta ahora, no se han visto afectados NFTs. Onyx Protocol aloja NFTs de Bored Ape (BAYC) y Mutated Ape (MAYC) para obtener hasta un 37% de ingresos pasivos anualizados. PeckShield también detectó un defecto con el contrato NFT del proyecto, aunque esto no ha llevado a una explotación adicional.
El ataque podría ser obra de un empleado desleal
El ataque al protocolo Onyx es relativamente pequeño, incluso en comparación con ataques a billeteras individuales. El efecto en el valor de VUSD y otros activos puede ser mayor. Pero el ataque podría estar exponiendo otra amenaza seria para los proyectos de criptomonedas: empleados desleales.
La explotación del protocolo Onyx podría deberse a un hacker norcoreano que se hace pasar por un desarrollador del proyecto. Los investigadores afirman que han contactado al equipo de Onyx con evidencia potencial de vínculos con hackers de la RPDC.
Por otro lado, la vulnerabilidad de Compound V2 es bien conocida y podría no haber requerido conocimiento interno para explotarla.
Reporte de Cryptopolitan por Hristina Vasileva
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Hristina Vasileva
Hristina Vasileva se especializa en noticias sobre DeFi, negocios y economía. Se graduó de la Universidad de Sofía con una maestría en Filosofía, después de completar una licenciatura de 4 años en Administración de Empresas, Periodismo y Comunicación Masiva. Ha trabajado para uno de los principales periódicos del país, cubriendo materias primas y resultados corporativos. Actualmente, Hristina es autora de noticias colaboradora en Cryptopolitan.
