Están saliendo a la luz más detalles tras un ataque del 2 de julio a la plataforma de puente entre cadenas Poly Network, que permitió que un pirata informático pudiera emitir miles de millones de tokens de la nada con fines de lucro.
En una publicación de Twitter del 2 de julio, Poly Network confirmó que se convirtió en la última víctima de un exploit de DeFi después de que los atacantes lograron manipular una función de contrato inteligente en el protocolo de puente entre cadenas, y agregó que suspenderá temporalmente los servicios.
En la actualización más reciente, el equipo reveló que el exploit afectó a 57 activos criptográficos en 10 cadenas de bloques, incluidos Ethereum, BNB Chain, Polygon, Avalanche, Heco, OKx y otros como Metis.
No se especificó cuánto fue robado en el ataque, pero Peckshield informó anteriormente que el explotador había transferido al menos 5 millones de dólares en criptomonedas.
Tokens transferidos desde Poly Network. Fuente: Twitter/PeckShield
“Ya hemos iniciado la comunicación con los intercambios centralizados y las agencias policiales y hemos solicitado su ayuda”, afirmó el equipo en una actualización del 3 de julio.
También recomendó a los equipos de proyecto y a los poseedores de tokens retirar liquidez y desbloquear sus tokens LP (proveedor de liquidez).
Análisis del hackeo de la red Poly Network por valor de 34.000 millones de dólares
El analista de seguridad de DeFi @0xArhat dijo que el exploit fue el resultado de una vulnerabilidad de contrato inteligente que permitió al pirata informático "crear un parámetro malicioso que contenía una firma de validador falsa y un encabezado de bloque".
Esto fue aceptado por el contrato inteligente, lo que permitió al pirata informático eludir el proceso de verificación y permitirle emitir tokens del grupo Ethereum de Poly Network a su propia dirección en otras cadenas, como Metis, BNB Chain y Polygon.
El proceso se repitió para otras cadenas, lo que permitió que el stock de tokens se acumulara.
En un momento dado, la billetera del pirata informático contenía alrededor de 42 mil millones de dólares en tokens, pero solo pudo convertir y robar una fracción de ellos, dijo el analista.
“De esta manera, el hacker pudo acuñar miles de millones de tokens en varias cadenas de bloques que antes no existían y transferirlos a sus propias direcciones de billetera”.
El último exploit de Poly Network ha sido denominado por el proveedor de soluciones de seguridad blockchain Dedaub como el "hackeo de 34 mil millones de Poly Network".
Dedaub señaló debilidades en el sistema multi-firma del protocolo, afirmando que tuvo un simple acuerdo multi-firma de “3 de 4” durante dos años, y agregó:
“Al observar el evento final, descubrimos que las claves privadas de las direcciones marcadas estaban comprometidas”.
Dedaub explicó que el ataque no fue complejo ya que no se explotaron errores lógicos. Agregó que Poly Network tardó siete horas en responder, lo que le costó a la plataforma 5,5 millones de dólares en criptomonedas robadas. Afortunadamente, la falta de liquidez en muchos de los tokens evitó más pérdidas.
Tras el ataque, el director ejecutivo de Binance, Changpeng Zhao, tranquilizó a los clientes y afirmó que "esto no afecta a los usuarios de Binance. No admitimos depósitos desde esta red".
Cointelegraph se comunicó con Poly Network para obtener más detalles, pero no recibió respuesta al momento de la publicación.
La red Poly fue atacada una vez antes en uno de los exploits más grandes de la industria en agosto de 2021, cuando los piratas informáticos, que luego se reveló que estaban vinculados con el colectivo de piratas informáticos norcoreano Lazarus Group, se llevaron más de $ 600 millones.