O protocolo Onyx foi hackeado novamente, resultando em um prejuízo de US$ 3,8 milhões por meio de exploração de taxa de câmbio

A plataforma de empréstimos e financiamentos Onyx foi alvo de um ataque que resultou em um prejuízo de US$ 3,8 milhões. A Hacken, empresa especializada em auditoria de segurança, analisou a atividade incomum na plataforma e estimou a natureza do ataque. 

O protocolo Onyx foi afetado por uma vulnerabilidade, resultando em uma perda de US$ 3,8 milhões. O ataque foi realizado por meio de um contrato malicioso personalizadotracimplantado minutos antes da chamada para a Onyx. O hacker conseguiu drenar o Virtual USD (VUSD), a stablecoin nativa do protocolo. Este é o segundo ataque sofrido pela Onyx desde 3 de novembro de 2023, quando o TVL ( Bloqueado) do projeto também sofreu uma queda brusca. A vulnerabilidade levou a ataques adicionais nas redes sociais, com links falsos que alegavam proteger os ativos. A melhor abordagem é interagir apenas com as redes sociais oficiais do protocolo Onyx. 

A Onyx anunciou que o próprio VUSD não foi afetado e continuará funcionando. No entanto, a exploração acabou destruindo a paridade da stablecoin, apesar da garantia adicional. O VUSD caiu para uma mínima de US$ 0,39 e não recuperou imediatamente seu nível nominal de US$ 1. 

Embora o valor final que o hacker conseguiu sacar seja pequeno, as perdas do protocolo podem ser maiores. O token VUSD tem uma oferta circulante nominal superior a US$ 51 milhões, mas sua capitalização de mercado atual é de US$ 19 milhões. 

A Onyx enfrentou uma exploração precisa de sua taxa de câmbio

Um dos motivos para a exploração da vulnerabilidade Onyx foi a disponibilidade de pools com baixa liquidez. Análises da Hacken estimaram que a exploração ocorreu devido a um erro de cálculo na taxa de câmbio, quando há baixa liquidez em alguns pares. O hacker preparou umtracinteligente para trocar WETH por Onyx ETH (oETH). 

Começando com um empréstimo de 2.000 WETH da Balancer, o hacker movimentou diversos criptoativos. Simultaneamente, otracmalicioso bombardeou a Onyx com uma série de transações de ETH de baixo valor. O resultado das trocas e transferências entre pools rendeu ao hacker 3,8 milhões de VUSD, nominalmente avaliados em US$ 3,8 milhões. 

A transação final conseguiu retirar 300 mil VUSD, que foram trocados por ETH usando operações de divisão do protocolo CoW. As transações causaram alguma derrapagem e o preço do VUSD ficou abaixo do valor nominal de US$ 1, então uma das transações de saída foi de US $ 191 mil. 

Outros ativos da Onyx também foram afetados

A série de ataques contra pools da Onyx afetou diversos ativos. A Peckshielddenttransferências de 4,1 milhões de VUSD, 7,35 milhões de Onyxcoin (XCN), 5 mil DAI, 0,23 WBTC e 50 mil USDT. Todas as transferências ocorreram em uma única transação, realizada pelotracinteligente malicioso. 

Onyx é um hard fork do Compound V2, carregando todas as falhas do protocolo. O próprio Onyx já foi alvo de ataques semelhantes, explorando cálculos de valor e a taxa de câmbio em pares ilíquidos. 

O protocolo Sonne foi explorado em maio, novamente devido a falhas conhecidas no Compound V2, que afetaram todos os projetos derivados e ainda não foram corrigidas. A falha se manifesta sempre que o protocolo inicia novos mercados sem financiamento. A introdução de novos pares em um DeFi multiplicou o problema, resultando em diversos ataques. 

Devido ao erro de cálculo, o hacker poderia acionar otracinteligente do protocolo e receber empréstimos muito maiores em troca de garantias insignificantes. 

O ataque atual à Onyx tem uma estrutura semelhante ao ataque ao Protocolo Sonne, novamente retirando uma quantidade substancial de tokens com uma garantia mínima. A longa série de 56 transações de spam corroeu a taxa de câmbio da Onyx, permitindo mais uma vez que o hacker retirasse todos os fundos com uma garantia irrisória. 

Até o momento, nenhum NFT foi afetado. O Onyx Protocol hospeda os NFTs Bored Ape (BAYC) e Mutated Ape (MAYC), que oferecem até 37% de renda passiva anualizada. A PeckShield também detectou uma falha no contrato de NFT do projeto issotracemboranão tenha levado a uma exploração adicional.

O ataque pode ter sido obra de um funcionário desonesto

O ataque ao protocolo Onyx é relativamente pequeno, mesmo comparado a ataques a carteiras individuais. O impacto no valor do VUSD e de outros ativos pode ser maior. Mas o ataque pode estar expondo outra séria ameaça aos projetos de criptomoedas: funcionários desonestos. 

A vulnerabilidade explorada no protocolo Onyx pode ser resultado de um hacker norte-coreano se passando por um desenvolvedor do projeto. Pesquisadores afirmam ter entrado em contato com a equipe do Onyx e apresentado possíveis indícios de ligações com hackers do DRPK. 

Por outro lado, a vulnerabilidade do Compound V2 é bem conhecida e pode não ter exigido conhecimento interno para ser explorada. 

Reportagem Cryptopolitan de Hristina Vasileva