Hackers atacam a bifurcação do Flooring Protocol, Asterix, à medida que a contágio se espalha
- Uma exploração drenou cerca de $40.000 do Asterix, um fork do Flooring Protocol, usando a mesma vulnerabilidade que custou ao Flooring mais de $900.000 no dia anterior.
- Pesquisadores 'white hat' liderados pela Yuga Labs recuperaram cerca de $500.000 em NFTs das pools do Flooring.
- Os ataques consecutivos destacam o risco de bases de código derivadas herdarem falhas de segurança não corrigidas durante um ano em que as perdas por explorações em criptomoedas já ultrapassaram $340 milhões.
O exploit do Flooring Protocol de 8 de junho teve uma sequência mais cedo hoje, quando o Asterix, uma bifurcação da plataforma de liquidez NFT, tornou-se vítima de um exploit que drenou cerca de US$ 40.000 em ativos.
A notícia do exploit estraga o humor após pesquisadores de chapéu branco relataram ter ajudado a recuperar mais de US$ 500.000 em NFTs blue-chip da mesma vulnerabilidade dos contratos do Flooring que parece ter sido usada para invadir o Asterix.
A vulnerabilidade do Flooring Protocol se espalhou para o Asterix via código bifurcado
Um membro da empresa de segurança blockchain BlockSec, Phalcon, foi um dos primeiros a notar as semelhanças entre o vetor de ataque do Asterix e a falha que permitiu aos atacantes drenar as pools do Flooring Protocol em 8 de junho.
Phalcon disse que o ataque ao Flooring Protocol foi essencialmente executado novamente no Asterix porque este último foi aparentemente bifurcado do DN404/BT404, um padrão de token que mescla mecânicas fungíveis e não fungíveis.
Relatórios iniciais sobre o incidente do Flooring tinham números de perda acima de US$ 900.000 antes intervenções de chapéu branco ajudaram a recuperar cerca de US$ 500,000.
O Asterix já confirmou a violação em um declaração no X, reconhecendo que um exploit havia atingido o contrato do token $ASTX por volta das 4h GMT+8. A equipe disse que estava investigando e publicaria um post-mortem completo assim que a análise fosse concluída.
Como o exploit do Flooring aconteceu?
O Flooring Protocol, que encerrou as operações no ano passado, permitia que os usuários depositassem NFTs em pools e recebessem tokens fungíveis atrelados um para um a esses ativos bloqueados.
O ataque ao Flooring Protocol que desde então começou a se espalhar explorou uma falha no sistema de contabilidade estilo BT404 da plataforma, que o VP de Blockchain da Yuga Labs chamou de fenômeno de “propriedade fantasma” no X.
Em termos simples, isso significa que alguém poderia usar um ID de token malicioso para passar em uma verificação de propriedade e ainda reutilizá-lo para produzir um resultado diferente em outra lógica de contabilidade, causando um problema matemático no saldo do token.
Neste caso, o atacante criou um saldo quase infinito de fpTokens, os tokens fungíveis que qualquer um pode usar para reivindicar NFTs bloqueados nas pools do Flooring.
Yuga Labs intensifica esforço de chapéu branco
Assim que o dreno do Flooring se tornou público, o CEO da Yuga Labs, Michael Figge, disse que a empresa rapidamente lançou um resgate de chapéu branco antes que outro atacante pudesse alcançar os NFTs vulneráveis.
A operação de resgate de NFTs garantiu 68 NFTs avaliados em 346 ETH (cerca de US$ 570.000 na época), incluindo 29 NFTs do Bored Ape Yacht Club, quatro Mutant Apes, dois CryptoPunks, um Azuki, dois Elementals, 26 Captains, um Moonbird e dois Doodles.
Super Secret Rare (SSR), um projeto que detectou sua vulnerabilidade após o Asterix ser atingido, alertou os usuários não interagir com a pool enquanto a situação permanecesse não resolvida.
A FreeLunchCapital, desenvolvedora por trás dos contratos afetados do Flooring, confirmou que o exploit também atingiu o BitmapPunks, que usava um design de contrato semelhante. Ambos os projetos dependiam de tokens fungíveis atrelados um para um a NFTs bloqueados, tornando-os vulneráveis ao mesmo caminho de ataque.
Um exploit após o outro
Os incidentes do Flooring e do Asterix se somam a uma sequência miserável de falhas de segurança que assolam a Web3. Como o Cryptopolitan observou em relatórios anteriores, as perdas astronômicas em dólares em abril aumentaram para um número maior de incidentes individuais em maio, atingindo 60 incidentes de segurança confirmados totalizando US$ 68,3 milhões em perdas brutas, segundo a Certik. A PeckShield atribuiu US$ 340,7 milhões em perdas a 14 exploits de pontes e cross-chain até 1º de junho.
Protocolos bifurcados apresentam seus próprios tipos de dores de cabeça. Quando projetos downstream copiam código sem auditá-lo, uma única vulnerabilidade na base de código pode ser replicada em vários níveis, assim como aconteceu no caso Flooring, Asterix agora.
A Yuga Labs disse que os NFTs resgatados serão retornados assim que os desenvolvedores do Flooring Protocol concluírem um patch. O 0xQuit alertou os usuários para não depositarem novos NFTs no Flooring enquanto a vulnerabilidade permanecer aberta. Para os detentores do Asterix, a perda de US$ 40.000 é menor em escala, mas a equipe ainda não divulgou se alguma recuperação é possível.
Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.
Perguntas Frequentes
O que é o Asterix e como ele está conectado ao Flooring Protocol?
O Asterix é um projeto que fez fork do seu código do Flooring Protocol e do padrão de token DN404/BT404. Essa base de código compartilhada significava que a mesma vulnerabilidade explorada no Flooring em 8 de junho poderia ser usada contra o Asterix no dia seguinte.
Quanto foi perdido e recuperado na exploração do Flooring Protocol?
O impacto total da exploração do Flooring excedeu $900.000, com pesquisadores 'white hat' recuperando aproximadamente $500.000 em valor de NFTs, incluindo 29 Bored Apes e dois CryptoPunks.
O que causou a vulnerabilidade no Flooring Protocol?
De acordo com o VP de Blockchain da Yuga Labs, 0xQuit, uma falha no sistema de contabilidade estilo BT404 do Flooring permitiu que um ID de token malicioso passasse em uma verificação de propriedade enquanto retornava um resultado diferente nas contabilizações posteriores, criando um estado de "propriedade fantasma" que deu ao atacante um saldo quase infinito de tokens de reivindicação.
Aviso. As informações fornecidas não constituem aconselhamento de negociação. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta a um profissional qualificado antes de tomar qualquer decisão de investimento.
Hannah Collymore
Hannah é escritora e editora com quase uma década de experiência em redação de blogs e cobertura de eventos no espaço cripto. Na Cryptopolitan, Hannah contribui para a página de notícias, relatando e analisando os últimos desenvolvimentos nos setores DeFi, RWA, regulação cripto, IA e tecnologias de fronteira. Ela se formou na Universidade Arcadia com graduação em Administração de Empresas.
