Protocolo Onyx hackeado novamente por US$ 3,8M através de exploração de taxa de câmbio
- Protocolo Onyx notou atividade incomum enquanto um hacker direcionou um contrato inteligente malicioso para cofres com baixa liquidez.
- A exploração resultou em até $3,8M, com 300K VUSD já trocados.
- O Protocolo Onyx, assim como outros hubs DeFi, herdou as falhas de um hard fork do Curve Finance e permanece vulnerável a exploits semelhantes.
A plataforma de empréstimo e empréstimo do Onyx foi explorada por US$ 3,8M. A Hacken, o hub de auditoria de segurança, analisou a atividade incomum na plataforma e estimou a natureza do ataque.
O Protocolo Onyx foi afetado por uma exploração, perdendo US$ 3,8M. O ataque foi realizado por meio de um contrato malicioso gerado personalizado, implantado apenas minutos antes de chamar o Onyx. O hacker conseguiu drenar o Virtual USD (VUSD), a stablecoin nativa do protocolo. Este é o segundo hack para a Onyx desde 3 de novembro de 2023, quando o TVL do projeto também caiu. O exploit levou a mais ataques nas redes sociais, com links falsos que afirmavam proteger os ativos. A melhor abordagem é interagir apenas com as redes sociais oficiais do Onyx Protocol.
A Onyx anunciou que o VUSD em si não foi afetado e continuará funcionando. No entanto, o exploit acabou destruindo o lastro do stablecoin, apesar da colateral extra. O VUSD caiu para um mínimo de $0,39 e não recuperou imediatamente seu nível nominal de $1.
Embora o valor final que o hacker conseguiu retirar seja pequeno, as perdas do protocolo podem ser mais profundas. O token VUSD tem uma oferta circulante nominal acima de US$ 51M, mas sua capitalização de mercado atual está em $19M.
A Onyx enfrentou um exploit de precisão em sua taxa de câmbio
Uma das razões para o exploit na Onyx foi a disponibilidade de pools de baixa liquidez. A análise da Hacken estimou que o exploit foi devido a um cálculo incorreto da taxa de câmbio, quando há baixa liquidez em alguns pares. O hacker preparou um contrato inteligente para trocar WETH por Onyx ETH (oETH).
Começando com um empréstimo de 2.000 WETH da Balancer, o hacker passou por vários ativos cripto. Ao mesmo tempo, o contrato malicioso enviou spam para a Onyx com uma série de transações de ETH de baixo valor. O resultado das trocas e transferências dos pools rendeu ao hacker 3,8M de VUSD, com valor nominal de $3,8M.
A transação final conseguiu retirar 300K de VUSD, que foram trocados por ETH usando trades divididos do CoW Protocol. As transações causaram algum deslizamento (slippage) e o preço do VUSD estava abaixo do nominal de $1, então uma das transações de saída foi para $191K.
Outros ativos da Onyx também foram afetados
A série de ataques contra os pools da Onyx afetou vários ativos. A Peckshield identificou transferências de 4,1M de VUSD, 7,35M de Onyxcoin (XCN), 5k de DAI, 0,23 de WBTC, 50k de USDT. Todas as transferências aconteceram em uma única transação, realizada pelo contrato inteligente malicioso.
A Onyx é um fork do Compound V2, carregando todas as falhas do protocolo. A própria Onyx já foi hackeada antes de maneira semelhante, explorando cálculos de valor e a taxa de câmbio em pares ilíquidos.
Sonne Protocol foi explorado em maio, novamente devido a falhas conhecidas no Compound V2, que afetaram todos os projetos forkados e não foram reparadas. A falha é vista sempre que o protocolo inicia novos mercados não financiados. A introdução de novos pares em um espaço DeFi dinâmico multiplicou o problema, levando a vários hacks.
Devido ao cálculo incorreto, o hacker pôde chamar o contrato inteligente do protocolo e receber empréstimos muito maiores em troca de colateral insignificante.
O ataque atual à Onyx tem uma estrutura semelhante ao hack do Sonne Protocol, retirando novamente uma quantidade substancial de tokens por colateral mínima. A longa série de 56 transações de spam desgastou a taxa de câmbio da Onyx, permitindo novamente que o hacker retirasse todos os fundos por uma colateral minúscula.
Até agora, nenhum NFT foi afetado. O Onyx Protocol hospeda NFTs Bored Ape (BAYC) e Mutated Ape (MAYC) para até 37% de renda passiva anualizada. A PeckShield também detectou uma falha no projeto’s contrato NFT, embora isso não tenha levado a um exploit adicional.
O ataque pode ser obra de um funcionário desonesto
O ataque ao protocolo Onyx é relativamente pequeno, mesmo em comparação com ataques a carteiras individuais. O efeito no valor do VUSD e de outros ativos pode ser maior. Mas o ataque pode estar expondo outra ameaça séria aos projetos de cripto – funcionários desonestos.
O exploit do protocolo Onyx pode ser devido a um hacker norte-coreano se passando por desenvolvedor do projeto. Pesquisadores afirmam que entraram em contato com a equipe da Onyx com evidências potenciais de vínculos com hackers da RPCD.
Por outro lado, a vulnerabilidade do Compound V2 é bem conhecida e pode não ter exigido conhecimento interno para ser explorada.
Reportagem do Cryptopolitan por Hristina Vasileva
Não apenas leia notícias sobre criptomoedas. Entenda-as. Inscreva-se em nossa newsletter. É grátis.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Hristina Vasileva
Hristina Vasileva especializa-se em notícias sobre DeFi, negócios e economia. Formou-se na Universidade de Sofia com mestrado em Filosofia, após concluir graduação de 4 anos em Administração de Empresas, Jornalismo e Comunicação de Massa. Trabalhou em um dos principais jornais do país, cobrindo commodities e resultados corporativos. Atualmente, Hristina é autora contribuinte de notícias na Cryptopolitan.
