O contrato inteligente da Vestra DAO (VSTR) foi explorado menos de um mês após seu lançamento
- Um explorador realizou múltiplos ataques a um contrato inteligente na Vestra DAO, negociando $480K em tokens VSTR por ETH.
- Os fundos roubados representam uma pequena parte do fornecimento, mas resultaram em uma perda de 50% para os tokens VSTR.
- O hacker trocou VSTR por ETH, pagando $40K em taxas de gás para transações rápidas e taxas Beaverbuild.
A Vestra DAO parece ter sido hackeada. Analistas on-chain notaram atividade suspeita em que tokens VSTR, o token nativo ERC-20 do protocolo, estavam sendo movidos de contratos inteligentes disponíveis e imediatamente enviados para o mixer Tornado.
Pelo menos US$ 480K em tokens haviam sido roubados no momento dos relatórios. Embora o ataque inicial tenha sido relativamente pequeno, o risco permanecia para outros participantes. O pesquisador on-chain Chaofan Shou foi o primeiro a notar a exploração, aconselhando todos os usuários a retirarem as permissões.
A Vestra DAO @Vestra_DAO foi hackeada agora mesmo e o ataque ainda está em andamento. Perda de US$ 480K já registrada e mais virá. Retire seu stake e retire a liquidez imediatamente. pic.twitter.com/0b9i1lhrEw
— Chaofan Shou (@Fried_rice) Dezembro 4, 2024
A exploração afetou o contrato de staking do token VSTR, com os fundos imediatamente liquidados e enviados para o mixer Tornado. Para o VSTR, mais de 65% dos tokens estão bloqueados para governança, com mais de 34B tokens.
O contrato inteligente afetado detém os 755M tokens VSTR restantes, representando 1,51% do fornecimento total. Apesar do ataque contra um token relativamente pequeno, a subsequente queda do mercado eliminou ainda mais valor do projeto. Por enquanto, a Vestra DAO pode ter VSTR suficiente em suas reservas para compensar os usuários, enquanto tenta reparar seu dano reputacional.
O explorador esperou um mês antes de explorar uma falha na lógica do contrato
O explorador vendeu apressadamente, pagando 0,51 ETH à Beaverbuild para inclusão prioritária em um bloco. O contrato de staking bloqueado da Vestra DAO foi afetado, enviando diretamente tokens VSTR.
Por horas, o explorador enviou transações de spam para 520K ou 500K VSTR para o contrato, no final, negociando US$ 480K no total. O ataque explorou uma falha de lógica no contrato, que permitiu ao hacker receber 20.000 VSTR após cada transação.
A análise on-chain mostrou que o atacante primeiro fez stake de VSTR no contrato há 30 dias, observando e estudando a falha do contrato. Em seguida, a série automatizada de transações começou a extrair VSTR com cada iteração de staking e unstaking.
As verificações de dados em cada depósito e retirada não acionaram nenhum aviso, permitindo que o atacante drenasse o contrato ao longo de várias transações de depósito e retirada. O contrato verificou a maturidade apenas uma vez, mas o hacker já havia concluído o requisito ao fazer stake há 30 dias.
O resultado da exploração foi um ganho de 125 ETH, que foi misturado através do Tornado Cash. O atacante gastou US$ 40K em gás de Ethereum para as trocas mais rápidas possíveis, tornando-se brevemente o maior usuário de gás da cadeia.
A Vestra DAO não emitiu os detalhes específicos do ataque e afirmou que os fundos dos usuários permaneceram intactos. No entanto, o contrato foi drenado de seus tokens VSTR, tirando claramente valor do projeto.
Tokens VSTR hackeados um mês após o início do comércio
A Vestra DAO é um projeto relativamente novo, com os tokens VSTR sendo negociados desde 6 de novembro. O token está disponível apenas em um par de negociação Uniswap V3.
A DAO realizou sua primeira proposta em 14 de outubro, e ela estava vinculada a venda 1B tokens do tesouro do projeto. O token VSTR ainda tem apenas 1,643 detentores, o que aumenta o efeito limitado do hack.
O token imediatamente despencou após o ataque, caiu de US$ 0,013 para US$ 0,005. Mais tarde, o VSTR subiu para US$ 0,009, mas permanece extremamente ilíquido e volátil. Além da perda direta, o VSTR também eliminou metade de sua capitalização de mercado.
Neste ponto, o VSTR pode ser ainda mais arriscado do que os tokens meme de estágio inicial. O maior risco é que os tokens VSTR tenham apenas US$ 1,9M em liquidez, que não está bloqueada e pode ser ainda mais explorada por meio de um rug pull.
O outro risco para o projeto é que seus contratos invocam funções de contratos inteligentes externos, levando a um alertando geral na CoinGecko. A Vestra DAO afirmou que havia bloqueado seu contrato de staking, mas não se sabe se vulnerabilidades semelhantes existem para outros contratos inteligentes.
Mesmo para projetos auditados, os contratos inteligentes podem nem sempre ser totalmente seguros e podem conter possibilidades de exploração. No caso da VestraDAO, o projeto de estágio inicial pode se recuperar e aumentar sua confiabilidade.
A Vestra DAO apelou à comunidade cripto turca, um dos grupos mais ativos de primeiros adotantes. O token VSTR até teve um preço de conversão para lira turca.
Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Hristina Vasileva
Hristina Vasileva especializa-se em notícias sobre DeFi, negócios e economia. Formou-se na Universidade de Sofia com mestrado em Filosofia, após concluir graduação de 4 anos em Administração de Empresas, Jornalismo e Comunicação de Massa. Trabalhou em um dos principais jornais do país, cobrindo commodities e resultados corporativos. Atualmente, Hristina é autora contribuinte de notícias na Cryptopolitan.
