Gli hacker colpiscono la fork di Flooring Protocol Asterix mentre la contagione si diffonde
- Un exploit ha drenato circa 40.000 dollari da Asterix, un fork di Flooring Protocol, sfruttando la stessa vulnerabilità che aveva fatto perdere a Flooring oltre 900.000 dollari il giorno precedente.
- Ricercatori white hat guidati da Yuga Labs hanno recuperato circa 500.000 dollari in NFT dai pool di Flooring.
- Gli attacchi consecutivi evidenziano il rischio che i codici fork ereditino falle di sicurezza non corrette durante un anno in cui le perdite dovute a exploit nel settore crypto hanno già superato i 340 milioni di dollari.
L'exploit di Flooring Protocol dell'8 giugno ha avuto un sequel più oggi quando Asterix, una fork della piattaforma di liquidità NFT, è diventata vittima di un exploit che ha drenato circa 40.000 dollari in asset.
La notizia dell'exploit inquina l'umore dopo che i ricercatori white hat hanno riferito di aver aiutato a recuperare più di 500.000 dollari in NFT blue-chip dalla stessa vulnerabilità dei contratti Flooring che sembra essere stata utilizzata per entrare in Asterisk.
La vulnerabilità di Flooring Protocol si è diffusa ad Asterisk tramite codice forked
Un membro della società di sicurezza blockchain BlockSec, Phalcon, è stato uno dei primi a notare le somiglianze tra il vettore di attacco di Asterix e il difetto che ha permesso agli attaccanti di drenare le pool di Flooring Protocol l'8 giugno.
Phalcon ha detto che l'attacco a Flooring Protocol è stato essenzialmente ripetuto su Asterix perché quest'ultima era apparentemente forked da DN404/BT404, uno standard di token che mescola meccaniche fungibili e non fungibili.
I rapporti iniziali sull'incidente Flooring avevano numeri di perdita sopra i 900.000 dollari prima degli interventi white hat che hanno aiutato a recuperare circa $500,000.
Asterix ha già confermato la violazione in un dichiarazione su X, riconoscendo che un exploit aveva colpito il contratto del token $ASTX intorno alle 4 GMT+8. Il team ha detto che stava indagando e avrebbe pubblicato un post-mortem completo una volta completata l'analisi.
Come è successo l'exploit di Flooring?
Flooring Protocol, che ha interrotto le operazioni lo scorso anno, permetteva agli utenti di depositare NFT in pool e ricevere token fungibili agganciati uno a uno a quegli asset bloccati.
L'attacco a Flooring Protocol che da allora ha iniziato a diffondersi ha sfruttato un difetto nel sistema di contabilità in stile BT404 della piattaforma che il VP di Blockchain di Yuga Labs ha definito un fenomeno di "proprietà fantasma" su X.
In termini semplici, significa che qualcuno potrebbe usare un ID token malizioso per passare un controllo di proprietà e ancora riutilizzarlo per produrre un risultato diverso in un'altra logica di contabilità, causando un problema matematico nel saldo del token.
In questo caso, l'attaccante ha creato un bilancio quasi infinito di fpTokens, i token fungibili che chiunque può usare per reclamare NFT bloccati nelle pool di Flooring.
Yuga Labs interviene con sforzo white hat
Una volta che il drenaggio di Flooring è diventato pubblico, l'CEO di Yuga Labs Michael Figge ha detto che l'azienda ha lanciato rapidamente un soccorso white hat prima che un altro attaccante potesse raggiungere gli NFT vulnerabili.
L'operazione di salvataggio NFT ha assicurato 68 NFT del valore stimato di 346 ETH (circa 570.000 dollari all'epoca), tra cui 29 NFT Bored Ape Yacht Club, quattro Mutant Apes, due CryptoPunks, un Azuki, due Elementals, 26 Captains, un Moonbird e due Doodles.
Super Secret Rare (SSR), un progetto che ha rilevato la propria vulnerabilità dopo che Asterisk è stato colpito, ha avvertito gli utenti di non interagire con il pool finché la situazione non è stata risolta.
FreeLunchCapital, lo sviluppatore dietro i contratti di Flooring colpiti, ha confermato che l'exploit ha interessato anche BitmapPunks, che utilizzava un design contrattuale simile. Entrambi i progetti si basavano su token fungibili ancorati uno a uno a NFT bloccati, rendendoli vulnerabili allo stesso percorso di attacco.
Un exploit dopo l'altro
Gli incidenti Flooring e Asterix si aggiungono a una serie miserabile di fallimenti di sicurezza che sta attraversando Web3. Come Cryptopolitan ha osservato in rapporti precedenti, le perdite in dollari astronomiche di aprile si sono ingigantite in un numero maggiore di incidenti individuali a maggio, raggiungendo 60 incidenti di sicurezza confermati per un totale di 68,3 milioni di dollari di perdite lorda secondo Certik. PeckShield ha attribuito 340,7 milioni di dollari di perdite a 14 exploit di bridge e cross-chain al 1 giugno.
I protocolli forkati presentano i loro tipi di mal di testa. Quando i progetti a valle copiano il codice senza sottoporlo a un audit, una singola vulnerabilità nel codice di base può essere replicata su più livelli, proprio come è accaduto nel caso Flooring, Asterix ora.
Yuga Labs ha dichiarato che gli NFT recuperati verranno restituiti una volta che gli sviluppatori di Flooring Protocol avranno completato la patch. 0xQuit ha avvertito gli utenti di non depositare nuovi NFT in Flooring finché la vulnerabilità rimane aperta. Per i holder di Asterix, la perdita di 40.000 dollari è di scala inferiore, ma il team non ha ancora divulgato se sia possibile un recupero.
Se stai leggendo questo, sei già avanti. Resta così con la nostra newsletter.
Domande frequenti
Cos'è Asterix e come è collegato a Flooring Protocol?
Asterix è un progetto che ha forcato il suo codice da Flooring Protocol e dallo standard token DN404/BT404. La condivisione della base di codice significava che la stessa vulnerabilità sfruttata in Flooring l'8 giugno è stata utilizzata contro Asterix il giorno successivo.
Quanto è stato perso e recuperato nell'exploit di Flooring Protocol?
L'impatto totale dell'exploit su Flooring ha superato i 900.000 dollari, con ricercatori white hat che hanno recuperato circa 500.000 dollari in NFT, inclusi 29 Bored Apes e due CryptoPunks.
Cosa ha causato la vulnerabilità in Flooring Protocol?
Secondo 0xQuit, VP di Blockchain di Yuga Labs, una falla nel sistema di contabilità in stile BT404 di Flooring ha permesso a un ID token malevolo di superare un controllo di proprietà restituendo un risultato diverso nei calcoli successivi, creando uno stato di "proprietà fantasma" che ha consentito all'attaccante di ottenere un saldo quasi infinito di token rivendicabili.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hannah Collymore
Hannah è una scrittrice e redattrice con quasi un decennio di esperienza nella scrittura di blog e nella copertura di eventi nel settore delle criptovalute. Presso Cryptopolitan, Hannah contribuisce alla pagina delle notizie, riportando e analizzando gli ultimi sviluppi nei settori DeFi, RWA, regolamentazione crypto, intelligenza artificiale e tecnologie emergenti. Si è laureata all'Arcadia University con una laurea in Amministrazione Aziendale.
