La piattaforma di prestito e prestito Onyx è stata sfruttata per 3,8 milioni di dollari. Hacken, l’hub di controllo della sicurezza, ha analizzato l’attività insolita sulla piattaforma e stimato la natura dell’attacco.
Onyx Protocol è stato colpito da un exploit, perdendo 3,8 milioni di dollari. L'attacco è stato realizzato tramite un contratto dannoso generato su misura trac implementato pochi minuti prima della chiamata a Onyx. L'hacker è riuscito a drenare Virtual USD (VUSD), la stablecoin nativa del protocollo. Questo è il secondo hack per Onyx dal 3 novembre 2023, quando anche il TVL del progetto si è bloccato. L’exploit ha portato ad ulteriori attacchi sui social media, con link falsi che affermavano di salvaguardare i beni. L'approccio migliore è interagire solo con i social media ufficiali di Onyx Protocol.
Onyx ha annunciato che lo stesso VUSD non è interessato e continuerà a funzionare. Tuttavia, l’exploit ha finito per distruggere l’ancoraggio della stablecoin, nonostante la garanzia extra. Il VUSD è crollato al minimo di 0,39 dollari e non ha recuperato immediatamente il suo livello nominale di 1 dollaro.
Sebbene la somma finale che l’hacker è riuscito a prelevare sia piccola, le perdite del protocollo potrebbero essere più profonde. Il token VUSD ha un'offerta circolante nominale superiore a 51 milioni di dollari , ma la sua attuale capitalizzazione di mercato è di 19 milioni di dollari.
Onyx ha dovuto affrontare uno sfruttamento preciso del suo tasso di cambio
Uno dei motivi dell’exploit di Onyx è stata la disponibilità di pool a bassa liquidità. L'analisi di Hacken stima che l'exploit sia dovuto ad un errore di calcolo del tasso di cambio, quando c'è poca liquidità in alcune coppie. L'hacker ha preparato untracintelligente per scambiare WETH con Onyx ETH (oETH).
Partendo da un prestito di 2.000 WETH da Balancer, l'hacker si è spostato attraverso diverse risorse crittografiche. Allo stesso tempo, iltracdannoso ha spammato Onyx con una serie di transazioni ETH di basso valore. Il risultato degli scambi e dei trasferimenti del pool ha fruttato all'hacker 3,8 milioni di VUSD, per un valore nominale di 3,8 milioni di dollari.
La transazione finale è riuscita a prelevare 300.000 VUSD, che sono stati scambiati con ETH utilizzando le operazioni suddivise del protocollo CoW. Le transazioni hanno causato qualche slittamento e il prezzo VUSD era inferiore al valore nominale di $ 1, quindi una delle transazioni in uscita era di $ 191.000 .
Sono interessati anche altri asset di Onyx
La serie di attacchi contro i pool Onyx ha colpito diversi asset. Peckshield hadenttrasferimenti di 4,1 milioni di VUSD, 7,35 milioni di Onyxcoin (XCN), 5k DAI, 0,23 WBTC, 50k USDT. Tutti i trasferimenti sono avvenuti in un'unica transazione, effettuata dallo smarttracdannoso.
Onyx è un hard fork Compound V2, che porta con sé tutti i difetti del protocollo. La stessa Onyx è stata hackerata in precedenza in modo simile, sfruttando calcoli di valore e il tasso di cambio su coppie illiquide.
Il protocollo Sonne è stato sfruttato a maggio, sempre a causa di difetti noti su Compound V2, che hanno interessato tutti i progetti biforcati e non sono stati riparati. Il difetto si riscontra ogni volta che il protocollo avvia nuovi mercati non finanziati. L'introduzione di nuove coppie in uno DeFi ha moltiplicato il problema, portando a diversi hack.
A causa dell'errore di calcolo, l'hacker potrebbe richiamare lo smarttracdel protocollo e ricevere prestiti molto più grandi in cambio di garanzie irrisorie.
L’attuale attacco Onyx ha una struttura simile all’hacking del Protocollo Sonne, ritirando ancora una volta una notevole quantità di token per una garanzia minima. La lunga serie di 56 transazioni spam ha ridotto il tasso di cambio di Onyx, consentendo nuovamente all'hacker di prelevare tutti i fondi in cambio di una piccola garanzia.
Finora nessun NFT è stato interessato. Il protocollo Onyx ospita NFT Bored Ape (BAYC) e Mutated Ape (MAYC) per un reddito passivo annualizzato fino al 37%. PeckShield ha inoltre rilevato un difetto nel contratto NFT del progetto trac sebbene ciò non abbia portato ad un ulteriore exploit.
L'attacco potrebbe essere opera di un dipendente disonesto
L’attacco al protocollo Onyx è relativamente piccolo, anche rispetto agli attacchi ai singoli portafogli. L’effetto sul valore del VUSD e di altri asset potrebbe essere maggiore. Ma l’attacco potrebbe esporre un’altra seria minaccia ai progetti crittografici: i dipendenti disonesti.
L'exploit del protocollo Onyx potrebbe essere dovuto a un hacker nordcoreano che si spaccia per sviluppatore del progetto. I ricercatori affermano di aver contattato il team Onyx con potenziali prove di legami con gli hacker DRPK.
D'altra parte, la vulnerabilità Compound V2 è ben nota e potrebbe non aver richiesto conoscenze privilegiate per sfruttarla.
Reportage criptopolita di Hristina Vasileva
Chiave Difference Wire aiuta i marchi crittografici a sfondare e dominare i titoli velocemente
