Смарт-контракт Vestra DAO (VSTR) был эксплуатирован менее чем через месяц после запуска
- Эксплуататор совершил несколько атак на смарт-контракт Vestra DAO, обменяв токены VSTR на сумму 480 тыс. долларов США на ETH.
- Украденные средства составляют лишь малую часть от общего предложения, но привели к падению стоимости токенов VSTR на 50%.
- Хакер обменял VSTR на ETH, потратив 40 тыс. долларов США на комиссию за газ для ускорения транзакций и сборы Beaverbuild.
Похоже, что Vestra DAO была взломана. Ончейн-аналитики заметили подозрительную активность, когда токены VSTR, нативный токен протокола ERC-20, перемещались из доступных смарт-контрактов и немедленно отправлялись в миксер Tornado.
На момент сообщений было украдено токенов как минимум на $480K. Хотя первоначальная атака была относительно небольшой, риск оставался для других участников. Исследователь ончейна Chaofan Shou первым заметил эксплуатацию, посоветовав всем пользователям отозвать разрешения.
Vestra DAO @Vestra_DAO взломана прямо сейчас, и это продолжается. Потери уже составляют $480K, и они будут расти. Немедленно выведите свои стейки и ликвидность. pic.twitter.com/0b9i1lhrEw
— Chaofan Shou (@Fried_rice) декабря 4, 2024
Эксплуатация затронула контракт стейкинга токена VSTR, средства были немедленно ликвидированы и отправлены в миксер Tornado. Для VSTR более 65% токенов заблокированы для управления, что составляет более 34 млрд токенов.
Затронутый смарт-контракт содержит оставшиеся 755M токены VSTR, составляющие 1,51% от общего предложения. Несмотря на атаку на относительно небольшой токен, последующий обвал рынка стер еще больше стоимости проекта. На данный момент у Vestra DAO может быть достаточно VSTR в резервах для компенсации пользователям, в то время как она пытается восстановить свою репутацию.
Эксплуататор ждал месяц, прежде чем воспользоваться уязвимостью в логике контракта
Эксплуататор продал активы в спешке, заплатив 0,51 ETH разработчику Beaverbuild за приоритетное включение транзакции в блок. Заблокированный контракт стейкинга Vestra DAO был затронут, что привело к прямой отправке токенов VSTR.
В течение нескольких часов злоумышленник отправлял спам-транзакции на сумму 520 000 или 500 000 VSTR в контракт, в итоге продав токены на общую сумму 480 000 долларов. Атака эксплуатировала логическую уязвимость в контракте, которая позволяла хакеру получать 20 000 VSTR после каждой транзакции.
Анализ блокчейна показал, что атакующий сначала застейкал VSTR в контракт 30 дней назад, наблюдая и изучая уязвимость. Затем началась автоматическая серия транзакций извлечения VSTR при каждой итерации стейкинга и вывода средств.
Проверки данных при каждом депозите и выводе не вызывали никаких предупреждений, что позволило атакующему опустошить контракт за несколько транзакций. Контракт проверял срок погашения только один раз, но хакер уже выполнил это требование, застейкав средства 30 дней назад.
Итогом эксплуатации стал доход в размере 125 ETH, которые были смешаны через Tornado Cash. Атакующий потратил 40 000 долларов на газ в Ethereum для максимально быстрых свопов, на короткое время став крупнейшим потребителем газа в сети.
Vestra DAO не раскрыла деталей атаки и заявила, что средства пользователей остались в безопасности. Однако контракт был опустошен от токенов VSTR, что явно нанесло ущерб проекту.
Токены VSTR взломаны через месяц после начала торгов
Vestra DAO — относительно новый проект, токены VSTR торгуются с 6 ноября. Токен доступен только в паре Uniswap V3.
Первое предложение DAO было запущено 14 октября и было связано с облигаций 1 млрд токенов из казны проекта. У токена VSTR до сих пор только 1,643 держатели, что усиливает ограниченное влияние взлома.
Цена токена сразу обвалился после атаки упала с 0,013 доллара до 0,005 доллара. Позже VSTR немного вырос до 0,009 доллара, но остается крайне неликвидным и волатильным. Помимо прямых потерь, VSTR обвалил половину своей рыночной капитализации.
На данный момент VSTR может быть даже рискованнее, чем мем-токены на ранней стадии. Главный риск заключается в том, что ликвидность токенов VSTR составляет всего 1,9 млн долларов, она не заблокирована и может быть дополнительно использована для rug pull.
Другим риском для проекта является то, что его контракты вызывают функции внешних смарт-контрактов, что приводит к общей предупреждая проблеме на CoinGecko. Vestra DAO заявила, что заблокировала свой контракт стейкинга, но неизвестно, существуют ли аналогичные уязвимости для других смарт-контрактов.
Даже для проверенных проектов смарт-контракты не всегда могут быть полностью безопасными и могут содержать возможности для эксплуатации. В случае с VestraDAO этот проект ранней стадии может восстановиться и повысить свою надежность.
Vestra DAO обратилась к турецкому крипто-сообществу, одной из самых активных групп ранних пользователей. Токен VSTR даже имел цену конвертации в турецкую лиру.
Самые умные крипто-энтузиасты уже читают нашу рассылку. Хотите присоединиться? Присоединяйтесь.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com Мы не несем ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимое исследование и/или проконсультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Христина Василева
Христина Василева специализируется на новостях из сферы DeFi, бизнеса и экономики. Она получила степень магистра философии в Софийском университете после четырехлетнего обучения по специальности «Бизнес-администрирование, журналистика и массовые коммуникации». Она работала в одной из ведущих газет страны, освещая вопросы сырьевых товаров и корпоративных финансовых результатов. В настоящее время Христина является внештатным автором новостей в Cryptopolitan.
