Il contratto intelligente di Vestra DAO (VSTR) è stato sfruttato meno di un mese dopo il suo lancio
- Un attaccante ha effettuato più attacchi a un contratto intelligente su Vestra DAO, scambiando VSTR per un valore di 480K in ETH.
- I fondi rubati rappresentano una parte minima dell'offerta totale, ma hanno causato una perdita del 50% per i token VSTR.
- L'hacker ha convertito VSTR in ETH, pagando 40K in gas per transazioni veloci e commissioni Beaverbuild.
Vestra DAO sembra essere stata hackerata. Gli analisti on-chain hanno notato attività sospette in cui i token VSTR, il token nativo ERC-20 del protocollo, venivano spostati dai contratti intelligenti disponibili e immediatamente inviati al mixer Tornado.
Almeno $480K di token erano stati rubati al momento delle segnalazioni. Sebbene l'attacco iniziale fosse relativamente piccolo, il rischio rimaneva per gli altri partecipanti. Il ricercatore on-chain Chaofan Shou ha notato per primo lo sfruttamento, consigliando a tutti gli utenti di revocare le autorizzazioni.
Vestra DAO @Vestra_DAO è stata hackerata proprio ora e l'attacco è ancora in corso. Perdita di $480K già registrata e altre seguiranno. Ritira la tua partecipazione e rimuovi la liquidità immediatamente. pic.twitter.com/0b9i1lhrEw
— Chaofan Shou (@Fried_rice) Dicembre 4, 2024
Lo sfruttamento ha interessato il contratto di staking del token VSTR, con i fondi immediatamente liquidati e inviati al mixer Tornado. Per VSTR, più del 65% dei token è bloccato per la governance, con oltre 34B di token.
Il contratto intelligente interessato detiene i restanti 755M token VSTR, rappresentando l'1,51% dell'offerta totale. Nonostante l'attacco contro un token relativamente piccolo, il successivo crollo del mercato ha cancellato ancora più valore dal progetto. Per ora, Vestra DAO potrebbe avere abbastanza VSTR nelle sue riserve per compensare gli utenti, mentre cerca di riparare il danno alla reputazione.
Lo sfruttatore ha aspettato un mese prima di sfruttare un difetto della logica del contratto
Lo sfruttatore ha venduto di fretta, pagando 0,51 ETH a Beaverbuild per l'inclusione prioritaria in un blocco. Il contratto di staking bloccato di Vestra DAO è stato interessato, inviando direttamente token VSTR.
Per ore, lo sfruttatore ha inviato transazioni spam per 520K o 500K VSTR al contratto, alla fine scambiando per un totale di $480K. L'attacco ha sfruttato un difetto logico nel contratto, che ha permesso all'hacker di ricevere 20.000 VSTR dopo ogni transazione.
L'analisi on-chain ha mostrato che l'attaccante ha inizialmente messo in staking VSTR nel contratto 30 giorni fa, osservando e studiando il difetto del contratto. Poi, la serie automatizzata di transazioni è iniziata estraggendo VSTR con ogni iterazione di staking e unstaking.
I controlli sui dati di ogni deposito e prelievo non hanno attivato alcun avviso, permettendo all'attaccante di svuotare il contratto attraverso più transazioni di deposito e prelievo. Il contratto ha verificato la maturità solo una volta, ma l'hacker aveva già completato il requisito mettendo in staking 30 giorni fa.
Il risultato dello sfruttamento è stato un bottino di 125 ETH, che è stato miscelato attraverso Tornado Cash. L'attaccante ha speso $40K in gas Ethereum per gli swap più veloci possibili, diventando brevemente il maggiore utilizzatore di gas sulla catena.
Vestra DAO non ha rilasciato i dettagli specifici dell'attacco e ha affermato che i fondi degli utenti sono rimasti incolumi. Tuttavia, il contratto è stato svuotato dei suoi token VSTR, sottraendo chiaramente valore dal progetto.
Token VSTR hackerati un mese dopo il lancio del trading
Vestra DAO è un progetto relativamente nuovo, con i token VSTR in trading dal 6 novembre. Il token è disponibile solo in una coppia di trading Uniswap V3.
La DAO ha presentato la sua prima proposta il 14 ottobre, ed era legata a vendendo 1B di token dal tesoro del progetto. Il token VSTR ha ancora solo 1,643 holder, aggiungendo all'effetto limitato dell'hack.
Il token immediatamente crollato dopo l'attacco, da $0,013 a $0,005. Successivamente, VSTR si è avvicinato a $0,009 ma rimane estremamente illiquido e volatile. Oltre alla perdita diretta, VSTR ha anche azzerato metà della sua capitalizzazione di mercato.
A questo punto, VSTR potrebbe essere ancora più rischioso dei token meme di fase iniziale. Il rischio maggiore è che i token VSTR abbiano solo $1,9M di liquidità, che non è bloccata e può essere ulteriormente sfruttata tramite un rug pull.
L'altro rischio per il progetto è che i suoi contratti invocano funzioni da contratti intelligenti esterni, portando a un generale avvertendo su CoinGecko. Vestra DAO ha affermato di aver messo in blacklist il suo contratto di staking, ma non è noto se vulnerabilità simili esistano per altri contratti intelligenti.
Anche per i progetti sottoposti ad audit, i contratti intelligenti potrebbero non essere sempre completamente sicuri e potrebbero contenere possibilità di sfruttamento. Nel caso di VestraDAO, il progetto di fase iniziale potrebbe recuperare e migliorare la sua affidabilità.
Vestra DAO ha fatto appello alla comunità crypto turca, uno dei gruppi più attivi di primi adottanti. Il token VSTR aveva persino un prezzo di conversione in lira turca.
Se stai leggendo questo, sei già avanti. Resta così con la nostra newsletter.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hristina Vasileva
Hristina Vasileva si specializza in notizie su DeFi, business ed economia. Si è laureata presso l'Università di Sofia con un Master in Filosofia, dopo aver completato una laurea triennale quadriennale in Amministrazione Aziendale, Giornalismo e Comunicazione di Massa. Ha lavorato per uno dei principali quotidiani del paese, coprendo il settore delle materie prime e i risultati aziendali. Attualmente, Hristina è autrice di notizie collaboratrice per Cryptopolitan.
