La popular plataforma DeFi Sturdy Finance hackeada perdiendo $800,000

Sturdy Finance, un protocolo de préstamos descentralizado, experimentó una importante brecha de seguridad hoy, lo que resultó en una pérdida de 442 ether, equivalente a aproximadamente 800,000 dólares. El ataque fue llevado a cabo por un individuo desconocido que explotó una vulnerabilidad de reentrada dentro del sistema, lo que le permitió manipular un oráculo de precios defectuoso y desviar fondos.

En las aplicaciones de finanzas descentralizadas (DeFi) como Sturdy Finance, los oráculos de precios desempeñan un papel crucial al proporcionar datos de precios del mundo real. Sin embargo, también pueden servir como un objetivo principal para hackers que buscan explotar vulnerabilidades y comprometer la seguridad de la plataforma.

El ataque a Sturdy Finance comenzó con un ataque de reentrada, un método comúnmente empleado para retirar fondos fraudulentamente de protocolos DeFi. Este tipo de ataque aprovecha la capacidad de llamar a una función repetidamente dentro de una sola transacción antes de que se complete la llamada de función original. Aprovechando esta vulnerabilidad, el atacante pudo retirar más fondos de los que legítimamente tenía derecho.

Brecha de seguridad en Sturdy Finance

Una vez que el atacante obtuvo el control sobre las llamadas a funciones, procedió a explotar el oráculo de precios. Sturdy Finance dependía de un contrato inteligente separado "de solo lectura" para derivar su oráculo de precios, que era responsable de determinar con precisión el valor de mercado de los activos en un pool de liquidez gestionado por el protocolo en el intercambio descentralizado Balancer. Sin embargo, el atacante manipuló con éxito el oráculo, lo que le permitió drenar fondos de Sturdy Finance.

BlockSec, una firma de seguridad, identificó la causa raíz de la brecha como la vulnerabilidad típica de reentrada en el sistema de Balancer, combinada con la manipulación del precio de B-stETH-STABLE.

En respuesta al ataque, Sturdy Finance tomó medidas inmediatas suspendiendo todos sus mercados para evitar pérdidas adicionales potenciales. El equipo aseguró a los usuarios que no había fondos adicionales en riesgo y que no se requería ninguna acción inmediata por parte de los usuarios. Se comprometieron a proporcionar más información tan pronto como estuviera disponible.

Después del ataque, los datos de la cadena revelaron que el atacante utilizó el mezclador Tornado Cash para ofuscar sus actividades. Este mezclador es una herramienta utilizada para mejorar la privacidad y dificultar el rastreo de transacciones en la blockchain.

El incidente destaca los desafíos y riesgos continuos asociados con las finanzas descentralizadas y la importancia de medidas de seguridad robustas. La rápida respuesta de Sturdy Finance al suspender los mercados demuestra su compromiso con la protección de los fondos de los usuarios y la mitigación de pérdidas potenciales. A medida que se desarrolla la investigación, se espera que se obtengan más perspectivas para prevenir ataques similares en el futuro y fortalecer la seguridad general de los protocolos de préstamos descentralizados.