Bedrock DeFi hackeado por US$ 1,7M em uniBTC através de exploração de contrato inteligente
- A equipe de pesquisa da Dedaub tentou alertar a Bedrock sobre o contrato defeituoso horas antes da exploração.
- O ativo afetado, uniBTC, despencou nas exchanges descentralizadas.
- A Bedrock afirmou que nenhum dos WBTC ou BTC subjacentes foi afetado ou está em risco.
A Bedrock DeFi, um protocolo DeFi baseado em Bitcoin com um ativo encapsulado, foi drenada de US$ 1,7M. O roubo de uniBTC ocorreu apenas um dia após um ataque contra a Onyx Finance.
A Bedrock DeFi foi explorada por US$ 1,7M em uniBTC, pois o pool de restaking foi drenado através de uma exploração de contrato inteligente. Após pesquisar o ataque, a Bedrock desligou o contrato inteligente problemático, evitando mais explorações. O hacker foi capaz de cunhar uniBTC sem limites, potencialmente expondo todos os pools e pares de negociação relacionados.
A exploração foi inicialmente descoberta pela equipe de análise da Dedaub, que imediatamente tentou entrar em contato com os desenvolvedores da Bedrock. No entanto, menos de três horas depois, outro atacante aplicou esse conhecimento e criou uniBTC excessivo.
A Bedrock DeFi anunciou que a exploração afetou apenas o uniBTC, outra forma tokenizada de BTC. As reservas subjacentes permanecem seguras, e o protocolo resolveu o problema. A plataforma detém mais de US$ 243 milhões em ativos apostados de várias redes, incluindo Bitcoin e Ethereum. A Bedrock DeFi visava oferecer re-staking líquido multi-cadeia, onde ativos ociosos poderiam gerar renda passiva.
O ativo tokenizado uniBTC é um contrato ERC-20 na cadeia Ethereum. O BTC encapsulado é mantido em 3.552 endereços e tem uma capitalização de mercado total de US$ 75,4 milhões. Logo após a exploração, alguns dos pares descentralizados viram uma ação extraordinária.
Versões do uniBTC existem em um total de oito redes, e alguns protocolos como a Pendle têm exposição de até US$ 30M ao ativo, empatado com o protocolo Corn. Um contrato vulnerável semelhante para cunhar uniBTC estava criando ameaças na Ethereum, Binance, Arbitrum, mainnet Optimism, Mantle, Mode, BOB e ZetaChain. Pesquisadores da Dedaub alertaram a Pendle, o que salvou a maior parte do valor travado de ser explorado como liquidez de saída.
O hack do uniBTC causou algum contágio nas exchanges descentralizadas. Um dos pools Uniswap V3 viu o preço cair para $17,889.15, enquanto outro par foi negociado com um desconto menor em US$ 62.311,48. A versão Optimism do par descentralizado caiu por 90% para menos de US$ 18.000. O ativo atingiu até um novo mínimo de US$ 5.741,48. A pressão de venda domina, impedindo tentativas de arbitragem, devido à baixa liquidez dos pares.
A queda real da taxa de swap pode ter prejudicado o protocolo mais, também causando danos reputacionais. Horas após o hack, o uniBTC não havia recuperado sua paridade com o WBTC, que compõe a maioria dos pares de negociação.
Como em outras explorações, comentários falsos nas redes sociais pediam o uso de um site de revogação. Os usuários de carteiras enfrentam riscos adicionais desses links maliciosos, que podem drenar os ativos restantes.
Hacker explorou a chamada da Bedrock ao contrato uniBTC
A exploração afetou o uniBTC encapsulado tokenizado, que tem lastro em BTC e WBTC reais. Pesquisadores como a Dedaub afirmaram ter notado a função potencial para explorar a Bedrock, mas o hack ocorreu horas após o aviso.
A Dedaub observou que um ator malicioso poderia criar uniBTC infinito e atacar vaults e pares descentralizados. O ataque potencialmente afetou a Pendle e a Corn, além da Bedrock DeFi. O explorador poderia depositar uma pequena quantidade de ETH e cunhar uniBTC a uma taxa de câmbio disparada. O ativo recém-cunhado seria totalmente transferível e poderia ser revendido por mais WBTC na Uniswap ou em outros protocolos descentralizados.
Outro pesquisador, Chaofan Shou, apontou que o contrato uniBTC era vulnerável a uma chamada de função. O valor em risco foi precisamente drenado algumas horas antes da análise.
Você pode usar o ItyFuzz para gerar uma exploração totalmente funcional que rouba até US$ 1,7M de @Bedrock_DeFi uniBTC.
E tudo o que é necessário é um núcleo de CPU + 0,5s. pic.twitter.com/SMMD1MSbvT
— Chaofan Shou (@Fried_rice) 26 de setembro, 27, 2024
Chamadas para contratos inteligentes continuam sendo um dos maiores riscos, especialmente após aumentar o valor travado em protocolos DeFi. O ataque contra a Bedrock DeFi ocorreu enquanto o valor total travado do protocolo estava próximo de um máximo histórico de US$ 243M.
O que salvou o protocolo foi a natureza não custodial do staking, o que permitiu que o hacker roubasse o ativo encapsulado e afetasse os pools de liquidez das DEX, mas não as reservas subjacentes. O BTC encapsulado geralmente usa carteiras frias e não é facilmente trocável de volta para o ativo original.
A Bedrock usa a Babylon Labs e a Eigen Layer para alcançar sua estrutura de recompensa. Esses protocolos estão desbloqueando com segurança o valor do BTC e ETH, sem expor os ativos diretamente ao risco. O uniBTC criado também pode ser usado na Pendle e Velodrome para obter retornos passivos.
A maioria dos ataques nas últimas semanas foi contra o DeFi baseado em Ethereum. O ataque atual afetou um ativo derivado de Bitcoin, embora ainda esteja usando a blockchain Ethereum para a maior parte das transferências de valor.
Reportagem do Cryptopolitan por Hristina Vasileva
Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Hristina Vasileva
Hristina Vasileva especializa-se em notícias sobre DeFi, negócios e economia. Formou-se na Universidade de Sofia com mestrado em Filosofia, após concluir graduação de 4 anos em Administração de Empresas, Jornalismo e Comunicação de Massa. Trabalhou em um dos principais jornais do país, cobrindo commodities e resultados corporativos. Atualmente, Hristina é autora contribuinte de notícias na Cryptopolitan.
