Hacker usa contrato não verificado para drenar US$ 1,4 milhão dos pools de tokens CUT

De acordo com a CertiK, a conta de um atacante utilizou uma função ilegível para transferir US$ 1,4 milhão em BSC-USD sem queimar os tokens LP equivalentes. A plataforma de insights blockchain e segurança revelou que o BSC-USD foi drenado em 10 de setembro de um pool de liquidez que continha tokens CUT.

A CertiK afirmou que o contrato do token CUT dependia de um contrato separado não verificado para definir seu “parâmetro de rendimento futuro”, permitindo a extração do BSC-USD através de métodos misteriosos em quatro transações separadas. De acordo com a CertiK, o token CUT explorado diferia do projeto Crypto Unit com o mesmo símbolo de cotação, mas localizado em um endereço diferente que termina em “36a7” na Binance Smart Chain. O par afetado era “0x83681F67069A154815a0c6C2C97e2dAca6eD3249”, conforme os achados da CertiK.  

Exploração com tokens CUT leva a perdas de mais de US$ 1.4 milhões

#CertiKInsight 🚨

Vimos uma exploração de flashloan envolvendo o token CUT

BSC: 0x7057F3b0F4D0649B428F0D8378A8a0E7D21d36a7

O contrato CUT usa ILPFutureYieldContract(_lpFutureYieldContractAddress) em 0x0917914b0A70ee7F1f2460Fcd487696856E31154, que não está verificado e contém… pic.twitter.com/ycE4Px3Nxy

— CertiK Alert (@CertiKAlert) September 10, 2024

A CertiK descobriu uma exploração de flashloan envolvendo um contrato de token CUT usando “ILPFutureYieldContract(_lpFutureYieldContractAddress) em 0x0917914b0A70ee7F1f2460Fcd487696856E31154”, que não estava verificado e continha funcionalidades ocultas. A plataforma de segurança cripto afirmou que o atacante manipulou o CUT usando FutureYield para obter quase US$ 1,4 milhão do par BUSD-CUT no PancakeSwap. A CertiK confirmou que os fundos estavam atualmente retidos em “0x5766d1F03378f50c7c981c014Ed5e5A8124f38A4.”

A CertiK divulgou que o pool drenado fazia parte da exchange Pancakeswap, mas nenhum outro pool do Pancakeswap foi afetado. Dados da blockchain revelou que o atacante realizou quatro transações separadas para remover US$ 1.448.974 de um pool BSC-USD. A CertiK afirmou que foi alertada sobre a transação ilegítima, já que o atacante não fez nenhum depósito no pool nem possuía tokens de provedor de liquidez. 

De acordo com o relatório da CertiK, o atacante chamou a função “0x7a50b2b8”, que não existia no contrato do token. O relatório revelou que o atacante deve ter chamado “ILPFutureYieldContract()”, permitindo a chamada de outra função em um contrato não verificado totalmente separado com um endereço que termina em “1154”, mostrando apenas um bytecode ilegível. Neste caso, os provedores de liquidez CUT perderam coletivamente US$ 1,4 milhão devido à exploração.

Explorações de criptomoedas em alta em 2024 com mais de US$ 310 milhões em perdas em agosto

Dados da CertiK mostraram que mais de US$ 310 milhões foram perdidos devido a uma combinação de hacks, golpes e explorações em agosto de 2024. Os dados confirmaram que esta foi a segunda maior perda mensal em 2024. De acordo com os dados, ~US$ 0,8 milhão foram perdidos em golpes de saída (exit scams), ~US$ 1,2 milhão em flash loans, e US$ 308,8 milhões em explorações, enquanto apenas US$ 10,3 milhões foram recuperados. 

Os dados da CertiK revelaram que as vítimas de phishing perderam um total de US$ 293 milhões. Notavelmente, os principais ataques de flashloan em agosto resultaram em perdas para Vow (US$ 1,2M), MintStakeShare (US$ 33,5K) e Satoshi (US$ 5K), enquanto os principais golpes de saída resultaram em perdas para o token Grimace (US$ 649K), Sigma (US$ 136K) e token Mbappe (US$ 88K). As principais explorações em agosto foram experimentadas pela Ronin Network (US$ 11,8M), Nexera (US$ 448,8K), Convergence (US$ 210K), iVest DAO (US$ 172K) e AAVE Periphery Ctr (US$ 64K).

A Immunefi divulgou que mais de US$ 1,2 bilhão foram perdidos para hackers de criptomoedas em 2024, representando um aumento de 15,5% em comparação com o mesmo período de 2023.