I tassi swETH di Swell salgono ore dopo la fuga di dati chiave di Railway

Spreek, un ricercatore di sicurezza, ha dichiarato il 22 ottobre che qualcuno con le hot keys operative della Swell DAO ha aumentato i tassi di cambio dei suoi token di staking liquido swETH e rswETH fino al limite orario dell'1%, senza alcun nuovo ETH a sostenerli.

Le notizie sono emerse ore dopo che la piattaforma cloud Railway ha rivelato che un intruso potrebbe aver accesso alle credenziali memorizzate dei clienti.

Odysseus ha contato cinque aumenti di circa 1% su entrambi i token

Spreek ha condiviso i risultati su X alle 01:28 UTC, affermando che le chiavi di amministrazione per entrambi i token "sembrano compromesse (forse legate a Railway)". Gli attaccanti stavano "aumentando il NAV di massimo l'1% (non coperto) ogni ora", come riportato.

Il fondatore di Phylax Systems Odysseus lo ha definito un "abuso del BOT-key", notando tre aumenti del tasso per swETH e due per rswETH di circa l'1% ciascuno. Il codice oracle pubblicato da Swell limita la presentazione degli snapshot di rivalutazione esclusivamente al ruolo BOT.

Quel bot gira sulle hot keys. Le hot keys sono online e firmano senza intervento umano.

I registri di Ethereum mostrano che un indirizzo ha inviato snapshot di swETH alle 23:02 UTC del 21 ottobre e poi nuovamente alle 00:04 e 01:08 UTC del 22 ottobre. I numeri riportati al 22 ottobre indicano che swETH era circa il 3,0% sopra a 1,133254 ETH.

rswETH era in aumento di circa 2.0% rispetto a 1.082464 ETH.

Railway ha dichiarato il 21 ottobre di aver rilevato attività anomale nei sistemi che memorizzano le variabili d'ambiente dei clienti e che un esterno potrebbe aver avuto accesso ai contenuti decrittografati per alcuni di essi. Tra i segreti archiviati vi sono chiavi API e credenziali di registro.

La piattaforma ha congelato tutti i deploy e ha esortato tutti gli utenti a rimuovere le secret memorizzate.

Lo stesso giorno, l'investigatore crypto Tay ha affermato che un attaccante aveva svuotato circa $371.000 da wallet su almeno 19 catene EVM con chiavi archiviate su Railway. Non è stata confermata alcuna connessione tra la violazione di Railway e Swell.

Quattro contratti di upgrade malevoli potrebbero sottrarre circa 2,500 ETH

Swell ha dichiarato su X alle 03:03 UTC del 22 ottobre di essere a conoscenza dei rapporti su “attività sospetta sui contratti swETH e rswETH” e stava collaborando con i propri partner di sicurezza per indagare. “Nessun ETH è uscito dai contratti di prelievo o deposito di swETH o rswETH”, ha scritto il team, aggiungendo che non era necessaria alcuna azione.

Swell ha interrotto depositi e prelievi per swETH e rswETH il 23 ottobre e ha annunciato che li riprenderà non appena il NAV tornerà al valore corretto.

Spreek ha inoltre segnalato quattro contratti di upgrade malevoli distribuiti che avrebbero potuto sottrarre circa 2.500 ETH se eseguiti. Odysseus ha stimato che Swell detenesse 2.513 ETH, aggiungendo che l’importo “NON è una perdita confermata.”

Al momento delle segnalazioni, nessuno degli upgrade era stato eseguito.

Alcuni dettagli della ricerca sarebbero stati compilati con l’assistenza dell’intelligenza artificiale e risultano non verificati.

Si ritiene che solo una frazione dei tassi più elevati sia già incorporata nei prezzi delle DEX. I prodotti di liquid staking e liquid restaking di Swell avevano ciascuno un valore totale bloccato (TVL) di circa 29 milioni di dollari il 23 ottobre, mentre le fonti dati indicano una capitalizzazione di mercato per rswETH compresa tra 27 milioni e 58 milioni di dollari.

In un mercato del prestito che quotava swETH o rswETH in base al tasso on-chain, quel numero gonfiato sarebbe stato considerato come garanzia. Cryptopolitan ha tracciato lo stesso percorso di contagio con l'exploit di rsETH di KelpDAO che si diffonde ai mercati di prestito su Layer 2.

Le chiavi rubate erano anche alla base dell'estensione per il portafoglio Fearless, che ha inviato le chiavi private degli utenti Polkadot al server di un attaccante.