Contrato inteligente malicioso causa perdas de $2.8M em tokens SUN na Arbitrum

Um contrato inteligente malicioso na cadeia Arbitrum causou uma perda estimada de $2.7M. A análise inicial mostrou que os tokens SUN foram cunhados fora de seu cronograma habitual. 

Um atacante implantou um contrato inteligente malicioso na cadeia Arbitrum, afetando os tokens Sun (SUN). O ataque criou mais SUN do nada, levando a perdas potenciais de $2.8M. O ataque ocorreu após o contrato inteligente de gestão ser revisou em uma única transação, e depois os fundos foram trocados nos blocos seguintes. To atacante usou a ponte Across para financiar a carteira inicial a partir da Ethereum. 

Os tokens foram imediatamente trocados, permitindo que o atacante bloqueasse os ganhos imediatamente. O atacante da cunhagem cunhou um total de 200T SUN cada, depois os trocou por USDT quase imediatamente. As transações foram visíveis através do token SUN página e aconteceram horas antes de serem notadas. 

Uma das trocas de transações foi por mais de 2.1M USDT, enquanto o resto dos tokens SUN foram trocados por WETH, causando outra perda de $750K. 

A própria rede Arbitrum não foi afetada. A recente exploração ocorre poucos dias depois que outro contrato inteligente vulnerável foi drenado de $93K de tokens através de uma função defeituosa. 

ALERTA! Nosso sistema detectou transações de ataque dirigidas ao contrato da @RamsesExchange na rede #Arbitrum, resultando em uma perda de ~$93K. Entramos em contato com a equipe, que nos informou que as medidas necessárias já foram tomadas.

A causa raiz parece ser uma entrada não verificada em… pic.twitter.com/I4KsHblIrC

— BlockSec Phalcon (@Phalcon_xyz) Outubro 24, 2024

Os usuários da Arbitrum também foram afetados pelo recente hack da Radiant Capital, que levou a US$ 50M em perdas. Os usuários da Radiant Capital ainda são afetados se tiverem aprovações de carteira ativas para o protocolo. 

SUN cai devido ao seu principal exchange ser drenado

O token SUN é relativamente inativo e o contrato inteligente não aponta para nenhuma DEX conhecida. O SUN apareceu pela primeira vez por volta de 17 de setembro, com uma oferta limitada de liquidez. O token cresceu gradualmente após seu lançamento, de $7 para $10 nas semanas anteriores ao ataque. O objetivo principal do token era servir como reserva de valor e colateral para finanças descentralizadas. 

O hack do token levou à perda de todo o valor nocional. De fato, a transação de exploração representou quase todo o volume do SUN até agora, atingindo $2.2M no total. 

Mais de 94% de todo o SUN estava contido em uma única carteira, sugerindo que o projeto ainda não estava operando totalmente. A carteira é marcada como a SunRay LP ou provedor de liquidez na Sunray DEX

Mais de 19.9K endereços detinham SUN tokens antes da exploração, embora a maioria ainda fosse controlada por uma única entidade. Nenhum dos endereços foi afetado diretamente, pois o explorador vendeu uma oferta recém-cunhada. 

Uma conta X vinculada à Sunray DEX revelou a atividade suspeita originada de seu tesouro. A Sunray DEX afirmou que SUN e ARCTokens fluíram para fora de seu tesouro e a equipe está tentando uma recuperação. No entanto, isso pode ser impossível, pois os tokens já foram trocados por USDT, que podem ser movidos ou negociados novamente. 

🌇Olá, usuários globais da sunray,

🌈Em relação à transferência dos ativos do tesouro SUN e ARCToken ao meio-dia de hoje, estamos trabalhando arduamente para restaurá-los. Não se preocupem, todos os ativos dos usuários estão disponíveis na cadeia. Acredito que o SUNRAY se tornará cada vez mais popular no futuro pic.twitter.com/wmQo9W1q0L

— SUNRAY·FINANCE (@SUNRAY_DEX) Outubro 30, 2024

A Sunray DEX é uma nova tentativa de construir um mercado baseado em blockchain na Arbitrum. A DEX foi criada com a participação da SoftBank, embora o projeto não esteja listado em sua página de portfólio. A conta X da Sunray DEX também se comunicou de uma forma que a destacava como uma outsider de cripto, demorando muito para lançar em um ambiente dinâmico onde novos tokens e DEX constroem sua atividade muito mais rápido. 

A Sunray DEX tem um página de destino, mas a maioria de suas funcionalidades ainda está inativa. O protocolo Sunray Finance prometeu uma renda passiva extremamente alta de 299% para SUN, com a adição do token de governança ARC. 

Nem a Sunray Finance nem a Sunray Swap relataram um hack através de seus canais. A investigação está em andamento, pois o token nativo SUN agora é praticamente sem valor. A Sunray Finance afirmou que seus contratos inteligentes foram auditados, mas as redes sociais do projeto sugerem que não estavam suficientemente preparados para os mais recentes desafios e ataques de DEX e Web3. 

A recente exploração foi relativamente pequena em comparação com outros hacks de DEX. No entanto, pode apontar para outra perda do lado da SoftBank, se de fato for a principal apoiadora de Sunray Finance. A própria DEX não tem uma página de destino própria e aponta apenas para a SoftBank. O fundo de investimento japonês apoiou vários projetos de cripto, alguns dos quais foram bem-sucedidos, mas outros, como a FTX, sofreram perdas profundas.