Orion Protocol, un agregador de liquidez para los intercambios CeFi y DeFi, vio pirateado su contrato principal el jueves en sus implementaciones de Ethereum y Binance Smart Chains (BSC).
El hacker obtuvo más de 1700 ETH, con un valor acumulado de más de $3 millones al momento de escribir este artículo.
Otro truco de reentrada
Como explicó la empresa de seguridad blockchain PeckShield en Twitter, el hack del jueves fue posible "debido a una protección de reentrada incompleta". Un error de reentrada se refiere a cuando un atacante puede retirar fondos repetidamente de un contrato inteligente sin costo alguno.
PeckShield explicó que la función swapThroughOrionPool permite a cualquier persona con tokens creados secuestrar su transferencia para volver a ingresar a la función de depósito de activos. Esto permite a los usuarios aumentar su saldo sin ningún costo real de fondos.
En este caso, el hacker utilizó un token recién construido llamado ATK y un contrato inteligente autodestructivo para manipular los grupos de Orion.
4/ El truco se inicia primero en BSC con un fondo inicial de 0,4 BNB de @TornadoCash. El hack de ETH obtiene un fondo inicial de 0,4 ETH de @SimpleSwap_io. Después del hack, la ganancia de 1100 ETH se deposita en @TornadoCash y otros 657 ETH permanecen en la cuenta del hacker: https://t.co/wGG6RA0qii pic.twitter.com/lRj9HGEgQc
– PeckShield Inc. (@peckshield) 3 de febrero de 2023
Alexey Koloskov, director ejecutivo de Orion, publicó un hilo explicando el exploit poco después de que ocurriera.
"Tenemos razones para creer que el problema no fue el resultado de ninguna deficiencia en nuestro código de protocolo central, sino que podría haber sido causado por una vulnerabilidad al mezclar bibliotecas de terceros en uno de los contratos inteligentes utilizados por nuestros corredores privados y experimentales. ," él dijo.
Koloskov señaló que el contrato explotado no era de gran importancia para el público, sino que fue utilizado principalmente por uno de sus intermediarios experimentales con el tesoro de la empresa. Los fondos de los usuarios, afirmó, son 100% seguros.
Sin embargo, la función Depósito de Orion se cerró y no se volverá a abrir hasta que se corrija el error y se hayan realizado las auditorías adecuadas.
El Honeypot DeFi
El dinero robado a través de hacks DeFi está creciendo con el tiempo: en 2022, se robaron 3.800 millones de dólares, de los cuales 1.700 millones en criptomonedas se los llevaron los hackers norcoreanos únicamente.
Gran parte de ese dinero fue tomado por el Grupo Lazarus de Corea del Norte, que se sospecha que ejecutó el hackeo del puente Harmony por valor de 100 millones de dólares en junio.
Algunos de los objetivos más lucrativos para los hackeos de criptomonedas han sido los puentes blockchain, donde se almacenan las criptomonedas que respaldan sus variantes tokenizadas que circulan en otras blockchains.
En octubre, los validadores detuvieron Binance Smart Chain (BSC) después de que un hacker acuñó 2 millones de BNB (por un valor de $ 600 millones en ese momento) de la nada al explotar el puente blockchain. Gran parte del BNB fue rápidamente trasladado a otras cadenas después.
La publicación Protocolo Orion pirateado por $ 3 millones mediante un ataque de reentrada apareció por primera vez en CryptoPotato.
