Vestra DAO parece haber sido pirateado. Los analistas en cadena notaron actividad sospechosa en la que los tokens VSTR, el token ERC-20 nativo del protocolo, se movían de trac inteligentes disponibles y se enviaban inmediatamente al mezclador Tornado.
En el momento de los informes se habían robado al menos 480.000 dólares en tokens. Si bien el ataque inicial fue relativamente pequeño, el riesgo persistió para los demás participantes. El investigador en cadena Chaofan Shou fue el primero en notar el exploit y recomendó a todos los usuarios que retiraran los permisos.
Vestra DAO @Vestra_DAO acaba de ser pirateado y aún continúa. Pérdida de 480.000 dólares ya y más por venir. Retire su apuesta y obtenga liquidez de inmediato. pic.twitter.com/0b9i1lhrEw
– Chaofan Shou (@shoucccc) 4 de diciembre de 2024
El exploit afectó el trac de participación de tokens VSTR, y los fondos se liquidaron inmediatamente y se enviaron al mezclador Tornado. Para VSTR, más del 65% de los tokens están bloqueados para su gobernanza, con más de 34 mil millones de tokens.
El contrato inteligente afectado trac los 755 millones de tokens VSTR restantes, lo que representa el 1,51% del suministro total. A pesar del ataque contra un token relativamente pequeño, la posterior caída del mercado borró aún más valor del proyecto. Por ahora, Vestra DAO puede tener suficiente VSTR en sus reservas para compensar a los usuarios, mientras intenta reparar el daño a su reputación.
El explotador esperó un mes antes de explotar una falla en la lógica del trac .
El explotador vendió rápidamente y pagó 0,51 ETH a Beaverbuild por su inclusión prioritaria en un bloque. trac contrato de participación bloqueado de Vestra DAO se vio afectado, enviando directamente tokens VSTR.
Durante horas, el explotador envió transacciones spam por 520.000 o 500.000 VSTR al trac , y al final negoció 480.000 dólares en total. El ataque aprovechó un fallo lógico en el trac , que permitió al hacker recibir 20.000 VSTR después de cada transacción.
El análisis en cadena mostró que el atacante apostó por primera vez por VSTR en el contrato trac 30 días, acechando y estudiando la falla del trac Luego, la serie automatizada de transacciones comenzó a trac VSTR con cada iteración de participación y eliminación de participación.
Las comprobaciones de datos de cada depósito y retiro no generaron ninguna advertencia, lo que permitió al atacante agotar el trac en múltiples transacciones de depósito y retiro. El trac verificó el vencimiento solo una vez, pero el hacker había completado el requisito apostando hace 30 días.
El resultado del exploit fue un botín de 125 ETH, que se mezcló a través de Tornado Cash . El atacante gastó 40.000 dólares en gas Ethereum para realizar los intercambios más rápidos posibles, convirtiéndose brevemente en el mayor usuario de gas de la cadena.
Vestra DAO no ha publicado los detalles del ataque y afirmó que los fondos de los usuarios no se vieron afectados. Sin embargo, al trac se le quitaron sus tokens VSTR, claramente quitándole valor al proyecto.
Tokens VSTR pirateados un mes después del lanzamiento comercial
Vestra DAO es un proyecto relativamente nuevo, con tokens VSTR comercializados desde el 6 de noviembre. El token solo está disponible en un par comercial Uniswap V3.
La DAO presentó su primera propuesta el 14 de octubre y estaba vinculada a la venta de mil millones de tokens de la tesorería del proyecto. El token VSTR todavía tiene solo 1.643 titulares, lo que se suma al efecto limitado del hack.
El token se estrelló después del ataque, de 0,013 dólares a 0,005 dólares. Más tarde, VSTR subió poco a poco hasta 0,009 dólares, pero sigue siendo extremadamente ilíquido y volátil. Además de las pérdidas directas, VSTR también perdió la mitad de su capitalización bursátil.
En este punto, VSTR puede ser incluso más riesgoso que los tokens de memes en etapa inicial. El mayor riesgo es que los tokens VSTR solo tengan 1,9 millones de dólares en liquidez, que no está bloqueado y puede explotarse aún más mediante un pull pull.
El otro riesgo para el proyecto es que sus contratos trac funciones de contratos inteligentes externos trac lo que genera una advertencia en CoinGecko. Vestra DAO afirmó que había incluido en la lista negra su contrato de participación trac pero se desconoce si existen vulnerabilidades similares para otros contratos trac .
Incluso en el caso de proyectos auditados, es posible que los trac inteligentes no siempre sean completamente seguros y puedan contener posibilidades de explotación. En el caso de VestraDAO, el proyecto en etapa inicial puede recuperarse y aumentar su confiabilidad.
Vestra DAO apeló a la comunidad criptográfica turca, uno de los grupos más activos de primeros usuarios. El token VSTR incluso tenía un precio de conversión a lira turca .
plan de lanzamiento profesional de 90 días
