Sentiment, una plataforma de finanzas descentralizadas (DeFi) que ofrece servicios de préstamos y empréstitos en la red Arbitrum de capa 2, fue afectada por un exploit malicioso el 4 de abril, lo que resultó en una pérdida de casi $1 millón.
El atacante utilizó un error de reentrada en Balancer, un protocolo de liquidez con el que se integra Sentiment, para ejecutar transacciones fraudulentas y drenar fondos de la plataforma.
Según la cuenta oficial de Twitter de Sentiment, el equipo notó una actividad de endeudamiento anormal alrededor de las 6:00 p.m. UTC del 4 de abril e inmediatamente detuvo el contrato principal para evitar mayores pérdidas.
El equipo también contó con la ayuda de expertos en seguridad externos de PeckShield, quienes confirmaron la naturaleza y el alcance del ataque y proporcionaron una solución para la vulnerabilidad.
Actualización de estado 1/4A sobre la situación actual: Aproximadamente a las 06:00:00 p.m. +UTC, el equipo de Sentiment se dio cuenta de una actividad de préstamo anormal que ahora ha sido declarada como un exploit malicioso.
– Sentimiento (@sentimentxyz) 5 de abril de 2023
Sentiment dijo que los usuarios ahora pueden pagar sus deudas y retirar sus fondos y que está trabajando con las fuerzas del orden y otras partes para localizar al pirata informático y recuperar los criptoactivos robados.
También te puede interesar: El protocolo DeFi Euler Finance sufre un hackeo de 197 millones de dólares
El consultor de seguridad de la plataforma, PeckShield, publicó un análisis detallado del exploit en su blog, explicando cómo el atacante aprovechó un error de reentrada de vista en Balancer para manipular los saldos del fondo común y sobregarantizar sus préstamos en Sentiment.
Según Peckshield, el atacante luego utilizó préstamos rápidos para pedir prestado y liquidar grandes cantidades de tokens de Sentiment, obteniendo alrededor de $ 1 millón en criptomonedas.
Se sabe que la causa principal es la reentrada de solo lectura de Balancer: https://t.co/ynuWr6PZMR. Aquí está el tx relacionado: https://t.co/iqvS48njau https://t.co/Mxkc1xoJn5 pic.twitter.com/IPzmtLKrBx
– PeckShield Inc. (@peckshield) 5 de abril de 2023
Los exploits de DeFi van en aumento
El ataque a Sentiment es el último de una serie de robos dirigidos a plataformas DeFi. El 13 de marzo, Euler Finance estuvo en el lado equivocado de un ataque de préstamo urgente que provocó la pérdida de 197 millones de dólares en activos digitales.
El análisis del ataque realizado por Peckshield supuso que el explotador se aprovechó de una falla en la lógica de donación y liquidación de Euler Finance para robar el dinero.
Sin embargo, el hacker devolvió los fondos robados después de semanas de gran drama que incluyó una oferta de recompensa de un millón de dólares por parte de Euler, amenazas de acciones legales y una confesión arrepentida del perpetrador.
Estos ataques han amplificado los riesgos de seguridad que enfrentan las plataformas DeFi, principalmente cuando dependen de protocolos externos que pueden tener fallas o vulnerabilidades ocultas.
La industria de las criptomonedas perdió más de 3.000 millones de dólares a manos de piratas informáticos y estafadores en 2022, y este año ha visto un resurgimiento de este tipo de atracos y robos. Sólo en el último mes, según informó crypto.news, los piratas informáticos robaron más de 21 millones de dólares de los protocolos DeFi.
Leer más: Paxful suspende el mercado, es posible que no regrese