El contrato inteligente de Vestra DAO (VSTR) fue explotado menos de un mes después de su lanzamiento
- Un explotador realizó múltiples ataques contra un contrato inteligente en Vestra DAO, operando con 480.000 $ en tokens VSTR a cambio de ETH.
- Los fondos robados representan una pequeña parte del suministro total, pero provocaron una pérdida del 50 % en el valor de los tokens VSTR.
- El hacker intercambió VSTR por ETH, pagando 40.000 $ en gas para acelerar las transacciones y tarifas adicionales de Beaverbuild.
Vestra DAO parece haber sido hackeado. Los analistas on-chain notaron actividad sospechosa donde los tokens VSTR, el token ERC-20 nativo del protocolo, se estaban moviendo desde contratos inteligentes disponibles y se enviaban inmediatamente al mezclador Tornado.
Al menos $480K en tokens habían sido robados en el momento de los informes. Aunque el ataque inicial fue relativamente pequeño, el riesgo permanecía para otros participantes. El investigador on-chain Chaofan Shou notó primero la explotación, aconsejando a todos los usuarios que retirasen los permisos.
Vestra DAO @Vestra_DAO fue hackeado justo ahora y aún está en curso. Pérdida de $480K ya y más por venir. Retira tu participación y retira la liquidez inmediatamente. pic.twitter.com/0b9i1lhrEw
— Chaofan Shou (@Fried_rice) Diciembre 4, 2024
La explotación ha afectado al contrato de staking del token VSTR, con los fondos liquidados inmediatamente y enviados al mezclador Tornado. Para VSTR, más del 65% de los tokens están bloqueados para gobernanza, con más de 34B tokens.
El contrato inteligente afectado contiene el restante 755M tokens VSTR, que representan el 1.51% del suministro total. A pesar del ataque contra un token relativamente pequeño, la posterior caída del mercado borró aún más valor del proyecto. Por ahora, Vestra DAO puede tener suficientes VSTR en sus reservas para compensar a los usuarios, mientras intenta reparar su daño reputacional.
El explotador esperó un mes antes de explotar un defecto de lógica del contrato
El explotador vendió apresuradamente, pagando 0.51 ETH a Beaverbuild por la inclusión prioritaria en un bloque. El contrato de staking bloqueado de Vestra DAO fue afectado, enviando directamente tokens VSTR.
Durante horas, el explotador envió transacciones de spam por 520K o 500K VSTR al contrato, al final, comerciando un total de $480K. El ataque explotó un defecto de lógica en el contrato, lo que permitió al hacker recibir 20,000 VSTR después de cada transacción.
El análisis on-chain mostró que el atacante primero hizo staking de VSTR en el contrato hace 30 días, acechando y estudiando el defecto del contrato. Luego, comenzó la serie automatizada de transacciones extrayendo VSTR con cada iteración de staking y unstaking.
Las verificaciones de datos en cada depósito y retiro no activaron ninguna advertencia, lo que permitió al atacante vaciar el contrato a través de múltiples transacciones de depósito y retiro. El contrato verificó la madurez solo una vez, pero el hacker había completado el requisito al hacer staking hace 30 días.
El resultado de la explotación fue una ganancia de 125 ETH, que se mezcló a través de Tornado Cash. El atacante gastó $40K en gas de Ethereum para los swaps más rápidos posibles, convirtiéndose brevemente en el mayor usuario de gas de la cadena.
Vestra DAO no ha emitido los detalles específicos del ataque y afirmó que los fondos de los usuarios permanecían sin afectar. Sin embargo, el contrato fue vaciado de sus tokens VSTR, tomando claramente valor del proyecto.
Tokens VSTR hackeados un mes después del lanzamiento del comercio
Vestra DAO es un proyecto relativamente nuevo, con tokens VSTR comerciando desde el 6 de noviembre. El token solo está disponible en un par de comercio Uniswap V3.
La DAO realizó su primera propuesta el 14 de octubre, y estaba vinculada a ventas 1B tokens del tesoro del proyecto. El token VSTR aún solo tiene 1,643 holders, lo que añade al efecto limitado del hackeo.
El token inmediatamente se desplomó después del ataque, de $0.013 a $0.005. Más tarde, VSTR se acercó a $0.009 pero permanece extremadamente ilíquido y volátil. Además de la pérdida directa, VSTR también eliminó la mitad de su capitalización de mercado.
En este punto, VSTR puede ser incluso más riesgoso que los tokens meme de etapa temprana. El mayor riesgo es que los tokens VSTR solo tienen $1.9M en liquidez, que no está bloqueada y puede ser explotada aún más mediante un rug pull.
El otro riesgo para el proyecto es que sus contratos invocan funciones de contratos inteligentes externos, lo que lleva a un general advertindo en CoinGecko. Vestra DAO afirmó que había bloqueado su contrato de staking, pero no se sabe si existen vulnerabilidades similares para otros contratos inteligentes.
Incluso para proyectos auditados, los contratos inteligentes pueden no siempre ser completamente seguros y pueden contener posibilidades de explotación. En el caso de VestraDAO, el proyecto de etapa temprana puede recuperarse y mejorar su confiabilidad.
Vestra DAO apeló a la comunidad cripto turca, uno de los grupos más activos de primeros adoptantes. El token VSTR incluso tuvo un precio de conversión a lira turca.
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Hristina Vasileva
Hristina Vasileva se especializa en noticias sobre DeFi, negocios y economía. Se graduó de la Universidad de Sofía con una maestría en Filosofía, después de completar una licenciatura de 4 años en Administración de Empresas, Periodismo y Comunicación Masiva. Ha trabajado para uno de los principales periódicos del país, cubriendo materias primas y resultados corporativos. Actualmente, Hristina es autora de noticias colaboradora en Cryptopolitan.
