Un hacker utilizza un contratto non verificato per drenare 1,4 milioni di dollari dai pool di token CUT

Secondo CertiK, l'account di un attaccante ha utilizzato una funzione illeggibile per trasferire 1,4 milioni di dollari in BSC-USD senza bruciare i token LP equivalenti. La piattaforma di analisi blockchain e sicurezza ha rivelato che il BSC-USD è stato drenato il 10 settembre da un pool di liquidità che deteneva token CUT.

CertiK ha affermato che il contratto del token CUT si affidava a un contratto separato non verificato per impostare il suo "parametro di rendimento futuro", consentendo l'estrazione del BSC-USD attraverso metodi misteriosi in quattro transazioni separate. Secondo CertiK, il token CUT sfruttato differiva dal progetto Crypto Unit con lo stesso simbolo ticker ma situato a un indirizzo diverso che termina con "36a7" sulla Binance Smart Chain. La coppia interessata era "0x83681F67069A154815a0c6C2C97e2dAca6eD3249", secondo i risultati di CertiK.  

L'exploit con i token CUT porta a perdite superiori a 1.4 milioni di dollari

#CertiKInsight 🚨

Abbiamo visto un exploit di flashloan che coinvolge il token CUT

BSC: 0x7057F3b0F4D0649B428F0D8378A8a0E7D21d36a7

Il contratto CUT utilizza ILPFutureYieldContract(_lpFutureYieldContractAddress) a 0x0917914b0A70ee7F1f2460Fcd487696856E31154 che non è verificato e contiene… pic.twitter.com/ycE4Px3Nxy

— CertiK Alert (@CertiKAlert) Settembre 10, 2024

CertiK ha scoperto un exploit di flashloan che coinvolge un contratto del token CUT che utilizza "ILPFutureYieldContract(_lpFutureYieldContractAddress) a 0x0917914b0A70ee7F1f2460Fcd487696856E31154", che non era verificato e conteneva funzionalità nascoste. La piattaforma di sicurezza crypto ha affermato che l'attaccante ha manipolato CUT utilizzando FutureYield per ottenere quasi 1,4 milioni di dollari dalla coppia BUSD-CUT su Pancake. CertiK ha confermato che i fondi erano attualmente detenuti a "0x5766d1F03378f50c7c981c014Ed5e5A8124f38A4".

Certik ha rivelato che il pool drenato faceva parte dello scambio Pancakeswap, ma nessun altro pool di Pancakeswap era interessato. I dati della blockchain ha rivelato mostrano che l'attaccante ha eseguito quattro transazioni separate per rimuovere 1.448.974 dollari da un pool BSC-USD. CertiK ha affermato di essere stato avvisato della transazione illegittima poiché l'attaccante non ha effettuato depositi nel pool né possedeva token di provider di liquidità. 

Secondo il rapporto di CertiK, l'attaccante ha chiamato la funzione "0x7a50b2b8" che non esisteva nel contratto del token. Il rapporto ha rivelato che l'attaccante deve aver chiamato "ILPFutureYieldContract()," consentendo la chiamata di un'altra funzione su un contratto separato non verificato con un indirizzo che termina con "1154", mostrando solo un bytecode illeggibile. In questo caso, i fornitori di liquidità CUT hanno perso collettivamente 1,4 milioni di dollari a causa dell'exploit.

Gli exploit crypto in aumento nel 2024 con oltre 310 milioni di dollari di perdite ad agosto

Dati da CertiK mostrato mostrano che oltre 310 milioni di dollari sono stati persi a causa di una combinazione di hack, truffe ed exploit ad agosto 2024. I dati hanno confermato che questa è stata la seconda perdita mensile più alta del 2024. Secondo i dati, ~0,8 milioni di dollari sono stati persi a causa di exit scam, ~1,2 milioni di dollari a causa di flash loan e 308,8 milioni di dollari a causa di exploit, mentre solo 10,3 milioni di dollari sono stati recuperati. 

I dati di CertiK hanno rivelato che le vittime di phishing hanno perso un totale di 293 milioni di dollari. In particolare, i principali attacchi flash loan ad agosto hanno causato perdite per Vow (1,2 milioni di dollari), MintStakeShare (33,5 mila dollari) e Satoshi (5 mila dollari), mentre i principali exit scam hanno causato perdite per il token Grimace (649 mila dollari), Sigma (136 mila dollari) e il token Mbappe (88 mila dollari). I principali exploit ad agosto hanno interessato la Rete Ronin (11,8 milioni di dollari), Nexera (448,8 mila dollari), Convergence (210 mila dollari), iVest DAO (172 mila dollari) e AAVE Periphery Ctr (64 mila dollari).

Immunefi ha rivelato che oltre 1,2 miliardi di dollari sono stati persi agli hacker crypto nel 2024, rappresentando un aumento del 15,5% rispetto allo stesso periodo del 2023.