Protocollo Ankr sfruttato: trilioni di aBNBc rubati dagli attaccanti

Il 2 dicembre, alle 12:35 GMT, Peckshield ha segnalato un exploit sfruttato da un attaccante sul protocollo Ankr. L'exploit ha portato via 20 trilioni di token di ricompensa aBNBc dal protocollo.

Ankr Reward Bearing Staked BNB (aBNBc) è un token con rendimento, il che significa che la sua quantità rimane la stessa dal momento dello staking. Il token si apprezza poiché il suo rapporto di riscatto cresce a causa dell'accumulo di ricompense.

Ankr ha lanciato il token sulla catena di Binance come funzione di staking liquido su Ankr. Gli utenti guadagnavano interessi mettendo in stake i loro BNB sul contratto intelligente e ottenevano aBNBc come prova dello stake. 

Inseguire la scia dei soldi aBNBc

Secondo Lookonchain, l'attaccante ha rubato le chiavi dal deployer di Ankr e ha coniato 10 trilioni di aBNBc che ha inviato a se stesso. In seguito ha trasferito 1,125 BNB all'indirizzo per le commissioni di gas e ha iniziato a svendere i token rubati.

L'attaccante ha sfruttato nuovamente il contratto e ha coniato altri 10 trilioni di token. Dopo gli sfruttamenti, l'attaccante ha iniziato a lavare denaro in BNB ed Ethereum attraverso Tornado Cash.

Tornado Cash è un contratto intelligente decentralizzato e open-source che fornisce il servizio di lavare i fondi criptovalutari 'contaminati' con altri per oscurare la fonte dei fondi.

L'attaccante ha anche trasferito i fondi rubati a Helio Money; utilizzando i fondi come garanzia, ha preso in prestito 16 milioni di dollari in HAY che ha poi venduto per 15,5 milioni di dollari in BUSD. L'attaccante ha ripetuto transazioni simili con $HAY venduto per BNB in diverse occasioni.

Analisi dell'exploit di $16M HAY da Lookonchain.

La società di sicurezza Peckshield ha rivelato che il contratto di Ankr aveva un bug nella sua funzione di conio. Una firma della funzione w/ 0x3b3a5522 incorporata nel contratto poteva bypassare la funzione OnlyMinter e avere un conio arbitrario. 

Peckshield ha anche notato che gli attaccanti hanno trasferito i fondi attraverso Celer e de BridgeGate su Ethereum e Tornado Cash. 

Ankr ha reagito su Twitter riconoscendo l'hack e ha rapidamente avvisato gli scambi di interrompere il trading dei token. Hanno consigliato alla loro comunità di evitare di scambiare i token, prelevare la liquidità dagli scambi e hanno citato l'emissione di nuovi Token. Questa mossa renderebbe i token rubati privi di valore.

Peckshield ha notato molteplici exploit dalla funzione di conio. 

Gli attaccanti rimangono altamente attivi; le statistiche della blockchain indicano che gli sfruttatori hanno anche bruciato miliardi di token.

Secondo Peckshield, alcuni sfruttatori hanno trasferito USDC e BUSD lavati dall'exploit allo scambio Binance. I fondi lavati su Binance ammontano a circa 19 milioni di dollari.

Il CEO di Binance, Changpeng Zhao (CZ), ha riconosciuto gli exploit in precedenza, notando che i fondi per 3 milioni di dollari spostati dagli sfruttatori su Binance sono stati congelati con i prelievi sospesi. Ha notato che l'exploiter è riuscito a rubare le chiavi private del contratto.

Impatto dell'exploit del protocollo Ankr

Alle 2:00 GMT, i prezzi di aBNBc sono crollati del 99% a seguito dell'exploit. Il trading è stato finora sospeso su vari scambi mentre il team di Ankr lavora per risolvere il problema e rimborsare i trader interessati.

L'exploit ha interessato HAY, la stablecoin, che è scesa del 35% nelle ultime 24 ore e scambia a $0,6434. Al picco, è scesa a $0,2113.

Ankr scambia a $0,02168, in calo del 3,93% nelle ultime 24 ore. BNB è rimasto relativamente stabile e scambia a $290,4.

Mentre la situazione si evolve, possiamo prevedere aggiornamenti continui dalle parti coinvolte. Binance e Ankr sono sulla pista giusta; è probabile che Binance congeli i fondi trasferiti al loro scambio mentre gli analisti contrassegneranno i fondi rubati per il tracciamento.

Il protocollo Ankr si unisce a una serie di altri exploit DeFi nel 2022. Secondo un'analisi realizzata da Chainalysis, il numero di exploit DeFi nel 2022 è ai massimi storici, avendo finora drenato oltre 800 milioni di dollari di fondi degli investitori.