Orange Finance avverte che un hacker ha compromesso tutti i suoi contratti su Arbitrum

Orange Finance ha avvertito tutti i suoi utenti di non interagire con i suoi smart contract su Arbitrum, poiché sono stati compromessi da un hacker. L'attaccante ha anche prelevato fondi da alcuni dei contratti, con perdite fino a circa 840 mila dollari.

Gli smart contract di Orange Finance sulla rete Arbitrum sono stati compromessi e i fondi sono stati rubati. Il progetto ha avvisato i suoi utenti a controllare i loro portafogli e revocare qualsiasi autorizzazione per gli smart contract per evitare perdite. 

L'exploit arriva dopo un anno di attività di phishing al picco, mirando a sfruttare i proprietari di wallet e i team di progetto tramite link o software malevoli. A questo punto, non è certo come l'hacker sia riuscito a ottenere il controllo dei wallet multisig e dei contratti, nonché delle vault di liquidità.

L'attaccante è riuscito a svuotare le vault di liquidità per token e stablecoin. Diversi indirizzi delle vault sono stati svuotati, sebbene il protocollo mantenga circa il 50% della sua liquidità.

https://twitter.com/0xOrangeFinance/status/1876975123359572440

Orange Finance sta ancora indagando sulla natura dell'exploit

L'attaccante è riuscito a ottenere il controllo del wallet admin di Orange Finance, modificando il comportamento di tutti gli smart contract. L'attaccante ha probabilmente sfruttato una bassa sicurezza sul wallet multisig del progetto, che è stata trascurata nonostante i precedenti audit di sicurezza. 

Il team di Orange Finance ha inviato una transazione on-chain Il mercato delle criptovalute generalmente più lento potrebbe essere anche un fattore dietro i recenti licenziamenti di Coinbase. Il co-fondatore e CEO di Coinbase ha inviato un all'hacker, suggerendo che i fondi potrebbero essere restituiti in cambio del trattamento dell'incidente come un tentativo white-hat.

Le perdite dovute al controllo delle vault del progetto sono stimate in 840.000 dollari, sebbene il risultato finale potrebbe essere superiore. Le attività rubate includevano stablecoin e WETH, e sono state tutte convertite in ETH e scambiate. 

Orange Finance ha chiuso la sua vault di stablecoin e ha avvertito di altri indirizzi potenzialmente compromessi. L'hacker aveva il pieno controllo dei trasferimenti e non ci sono tracce di un semplice utilizzo della logica dello smart contract. 

Il team sta ancora indagando sull'exploit e avverte gli utenti di non tentare di prelevare alcuna liquidità residua. 

Orange Finance è uno dei protocolli di aggregazione della liquidità più utilizzati su Arbitrum. Al suo picco, il progetto deteneva $1.94M in valore totale bloccato. L'attacco non ha svuotato completamente tutte le vault, poiché il protocollo mantiene circa 731 mila dollari. 

Arbitrum registra più di 980 milioni di dollari in attività di trading DEX, con afflussi di liquidità da Ethereum. La catena L2 è uno dei mercati più liquidi per il trading DEX, grazie all'afflusso di stablecoin e alle commissioni di trading estremamente basse. 

Anche Stryke Protocol è stato interessato

L'hacker ha anche sfruttato le vault di Stryke Protocol, colpendo il suo mercato di fornitura di liquidità. Il progetto ha affermato che le sue funzionalità principali rimangono sicure e non compromesse, ma ha temporaneamente interrotto tutte le sue attività su Arbitrum. 

Orange Finance è un protocollo partner di Stryke, mirando specificamente alle attività su Arbitrum con liquidità concentrata. Stryke stesso non ha perso fondi direttamente, al di fuori del numero limitato di vault su Orange Finance. 

Il problema più grande derivante dagli smart contract chiusi è che entrambi i protocolli hanno posizioni aperte, che potrebbero essere liquidate in caso di volatilità di mercato. I fornitori di liquidità potrebbero subire perdite per alcune delle loro posizioni se il protocollo rimane chiuso. Gli utenti stanno ricevendo transazioni fallite avvisi poiché non riescono a garantire le loro posizioni. 

Stryke Protocol detiene circa 2,17 milioni di dollari in liquidità ed è un mercato relativamente minore per la liquidità. Il progetto, precedentemente noto come Dopex, scambia opzioni su BTC, ETH, ARB e BOOP.

Stryke Protocol, come Orange Protocol, è ancora privo di token, con punti premiati per l'attività. I protocolli non hanno menzionato un prossimo airdrop, ma potrebbero comunque attrarre utenti che si aspettano un token in futuro. Fortunatamente, l'hack non ha interessato alcun token esistente, poiché le perdite di mercato sono solitamente superiori rispetto all'hack stesso. 

I protocolli sono attraenti per offrire rendimenti più alti in cambio di liquidità per alcune delle coppie di trading chiave. Stryke Protocol e OrangeProtocol stanno potenziando le attività sui principali DEX, inclusi Uniswap e PancakeSwap, concentrandosi su alcune delle coppie più attive e liquide. Il protocollo ha ottenuto payout estremamente elevati per le vault per compensare il rischio potenziale. Recentemente, alcune delle vault hanno portato oltre il 1.020% annualizzato ai fornitori di liquidità concentrata.