Plataforma DeFi popular Sturdy Finance hackeada, perdendo $800,000

A Sturdy Finance, um protocolo de empréstimo descentralizado, sofreu uma violação de segurança significativa hoje, resultando na perda de 442 ether, equivalente a aproximadamente US$ 800.000. O ataque foi realizado por um indivíduo desconhecido que explorou uma vulnerabilidade de reentrada no sistema, permitindo que ele manipulasse um oráculo de preços defeituoso e drenasse fundos.

Em aplicações de finanças descentralizadas (DeFi) como a Sturdy Finance, os oráculos de preços desempenham um papel crucial ao fornecer dados de preços do mundo real. No entanto, eles também podem servir como um alvo principal para hackers que buscam explorar vulnerabilidades e comprometer a segurança da plataforma.

O ataque à Sturdy Finance começou com um ataque de reentrada, um método comumente empregado para retirar fundos fraudulentamente de protocolos DeFi . Esse tipo de ataque aproveita a capacidade de chamar uma função repetidamente dentro de uma única transação antes que a chamada de função original seja concluída. Ao alavancar essa falha, o atacante conseguiu retirar mais fundos do que tinha direito legítimo.

Violação de segurança na Sturdy Finance

Assim que o atacante ganhou controle sobre as chamadas de função, ele procedeu a explorar o oráculo de preços. A Sturdy Finance dependia de um contrato inteligente separado "somente leitura" para derivar seu oráculo de preços, que era responsável por determinar com precisão o valor de mercado dos ativos em um pool de liquidez gerenciado pelo protocolo na exchange descentralizada Balancer. No entanto, o atacante manipulou com sucesso o oráculo, permitindo que ele drenasse fundos da Sturdy Finance.

A BlockSec, uma empresa de segurança, identificou a causa raiz da violação como a vulnerabilidade típica de reentrada no sistema da Balancer, combinada com a manipulação do preço do B-stETH-STABLE.

Em resposta ao ataque, a Sturdy Finance tomou medidas imediatas suspendendo todos os seus mercados para evitar perdas adicionais. A equipe garantiu aos usuários que nenhum fundo adicional estava em risco e que nenhuma ação imediata era necessária por parte dos usuários. Eles se comprometeram a fornecer mais informações assim que estivessem disponíveis.

Após o ataque, dados on-chain revelaram que o atacante utilizou o misturador Tornado Cash para ofuscar suas atividades. Esse misturador é uma ferramenta usada para melhorar a privacidade e dificultar o rastreamento de transações na blockchain.

O incidente destaca os desafios e riscos contínuos associados às finanças descentralizadas e a importância de medidas de segurança robustas. A resposta rápida da Sturdy Finance em suspender os mercados demonstra seu compromisso em proteger os fundos dos usuários e mitigar perdas potenciais. À medida que a investigação avança, espera-se que mais insights sejam obtidos para prevenir ataques semelhantes no futuro e fortalecer a segurança geral dos protocolos de empréstimo descentralizados.