Orange Finance advierte que un hacker ha comprometido todos sus contratos en Arbitrum

Orange Finance advirtió a todos sus usuarios que no interactuaran con sus contratos inteligentes en Arbitrum, ya que han sido comprometidos por un hacker. El atacante también retiró fondos de algunos de los contratos, con pérdidas de hasta alrededor de $840K.

Los contratos inteligentes de Orange Finance en la red Arbitrum han sido comprometidos y se han robado fondos. El proyecto advirtió sus usuarios a verificar sus billeteras y revocar cualquier permiso para contratos inteligentes para evitar pérdidas. 

La explotación llega después de un año de actividad de phishing en su punto máximo, con el objetivo de explotar a los propietarios de billeteras y equipos de proyectos a través de enlaces o software maliciosos. En este punto, no está claro cómo el hacker logró obtener el control de las billeteras multisig y los contratos, así como de las bóvedas de liquidez.

El atacante logró vaciar las bóvedas de liquidez para tokens y stablecoins. Se han vaciado varias direcciones de bóveda, aunque el protocolo retiene alrededor del 50% de su liquidez.

https://twitter.com/0xOrangeFinance/status/1876975123359572440

Orange Finance aún está investigando la naturaleza de la explotación

El atacante logró obtener el control de la billetera de administración de Orange Finance, cambiando el comportamiento de todos los contratos inteligentes. El atacante probablemente explotó la baja seguridad en la billetera multisig del proyecto, que pasó por alto a pesar de las auditorías de seguridad anteriores. 

El equipo de Orange Finance envió una on-chain destacó la necesidad de construir sistemas integrales para la emisión y distribución de stablecoins. al hacker, sugiriendo que los fondos podrían ser devueltos a cambio de tratar el accidente como un intento de white-hat.

Las pérdidas por tomar el control de las bóvedas del proyecto se estiman en $840,000, aunque el resultado final podría ser mayor. Los activos robados incluían stablecoins y WETH, y ya se han convertido en ETH y negociado. 

Orange Finance ha cerrado su bóveda de stablecoins y ha advertido sobre otras direcciones potencialmente comprometidas. El atacante tenía el control total de las transferencias, y no hay registros de simplemente usar la lógica propia del contrato inteligente. 

El equipo aún está investigando la explotación y advirtiendo a los usuarios que no intenten retirar ninguna liquidez restante. 

Orange Finance es uno de los protocolos de agregación de liquidez más utilizados en Arbitrum. En su punto máximo, el proyecto tenía $1.94M en valor total bloqueado. El ataque no vació completamente todas las bóvedas, ya que el protocolo retiene alrededor de $731K. 

Arbitrum tiene más de $980M en actividad de negociación de DEX, con flujos de liquidez desde Ethereum. La cadena L2 es uno de los lugares más líquidos para la negociación de DEX, debido al flujo de stablecoins y las tarifas de negociación extremadamente bajas. 

Stryke Protocol también afectado

El hacker también explotó las bóvedas de Stryke Protocol, golpeando su mercado de provisión de liquidez. El proyecto afirmó que sus características principales permanecen seguras y no comprometidas, pero ha detenido temporalmente todas sus actividades en Arbitrum. 

Orange Finance es un protocolo socio de Stryke, dirigido específicamente a las actividades de Arbitrum con liquidez concentrada. Stryke en sí no ha perdido fondos directamente, fuera del número limitado de bóvedas en Orange Finance. 

El mayor problema de los contratos inteligentes cerrados es que ambos protocolos tienen posiciones abiertas, que pueden ser liquidadas en casos de volatilidad del mercado. Los proveedores de liquidez pueden incurrir en pérdidas para algunas de sus posiciones si el protocolo permanece cerrado. Los usuarios están recibiendo transacción fallida avisos ya que no pueden asegurar sus posiciones. 

Stryke Protocol tiene alrededor de $2.17M en liquidez, y es un mercado relativamente menor para la liquidez. El proyecto, anteriormente conocido como Dopex, negocia opciones de BTC, ETH, ARB y BOOP.

Stryke Protocol, al igual que Orange Protocol, aún no tiene token, con puntos recompensados por la actividad. Los protocolos no han mencionado un próximo airdrop, pero aún pueden atraer a usuarios que esperan un token en el futuro. Afortunadamente, el hackeo no afectó a ningún token existente, ya que las pérdidas del mercado suelen ser mayores en comparación con el hackeo mismo. 

Los protocolos son atractivos por ofrecer mayores rendimientos a cambio de liquidez para algunos de los pares de negociación clave. Stryke Protocol y OrangeProtocol están impulsando actividades en DEX principales, incluyendo Uniswap y PancakeSwap, centrándose en algunos de los pares más activos y líquidos. El protocolo logró pagos extremadamente altos para las bóvedas para compensar el riesgo potencial. Recientemente, algunos de los bóvedas trajeron más del 1,020% anualizado a los proveedores de liquidez concentrada.