🛡️ Una comprobación de entrada omitida drenó 77 bóvedas en un día
He visto esto demasiadas veces.
Durante el frenesí DeFi del verano de 2020, los contratos que acababan teniendo problemas siempre eran los que «se habían saltado una comprobación en el código».
El 8 de noviembre, ACryptoS sufrió un ataque.
SlowMist registró pérdidas de unos 665.000 dólares, que afectaron a 77 bóvedas en cinco cadenas: Arbitrum, BNB Chain, Polygon, Base y Optimism.
Según los informes, la causa fue que faltaba una validación de entrada en la función de depósito de varios tokens:
El atacante introdujo la cantidad de un solo token en una bóveda de dos tokens, desajustó el cálculo de las participaciones y luego usó las participaciones extra para retirar ambos activos.
Lo más siniestro:
La cantidad de participaciones de tu cartera no cambia, así que no te das cuenta de que el fondo ya ha sido vaciado.
Ten presentes estos tres principios:
• Cuando se despliega el mismo código en varias cadenas, si hay un problema en una, es solo cuestión de tiempo que pongan el ojo en las demás
• Prueba primero con una cantidad pequeña; no metas todo tu capital de golpe en una bóveda nueva
• Revoca las autorizaciones cuando termines de usarlas; no dejes que el contrato conserve el permiso indefinidamente
Cuanto más atractiva sea la rentabilidad de una bóveda, más importante es preguntarse: ¿quién la ha auditado? ¿Has leído el informe de auditoría?
¿Cuántas autorizaciones sin revocar tienes ahora mismo en tu cartera?
#Web3安全 #BNBChain $BNB
Esto no constituye asesoramiento de inversión. DYOR
He visto esto demasiadas veces.
Durante el frenesí DeFi del verano de 2020, los contratos que acababan teniendo problemas siempre eran los que «se habían saltado una comprobación en el código».
El 8 de noviembre, ACryptoS sufrió un ataque.
SlowMist registró pérdidas de unos 665.000 dólares, que afectaron a 77 bóvedas en cinco cadenas: Arbitrum, BNB Chain, Polygon, Base y Optimism.
Según los informes, la causa fue que faltaba una validación de entrada en la función de depósito de varios tokens:
El atacante introdujo la cantidad de un solo token en una bóveda de dos tokens, desajustó el cálculo de las participaciones y luego usó las participaciones extra para retirar ambos activos.
Lo más siniestro:
La cantidad de participaciones de tu cartera no cambia, así que no te das cuenta de que el fondo ya ha sido vaciado.
Ten presentes estos tres principios:
• Cuando se despliega el mismo código en varias cadenas, si hay un problema en una, es solo cuestión de tiempo que pongan el ojo en las demás
• Prueba primero con una cantidad pequeña; no metas todo tu capital de golpe en una bóveda nueva
• Revoca las autorizaciones cuando termines de usarlas; no dejes que el contrato conserve el permiso indefinidamente
Cuanto más atractiva sea la rentabilidad de una bóveda, más importante es preguntarse: ¿quién la ha auditado? ¿Has leído el informe de auditoría?
¿Cuántas autorizaciones sin revocar tienes ahora mismo en tu cartera?
#Web3安全 #BNBChain $BNB
Esto no constituye asesoramiento de inversión. DYOR