Se han explotado múltiples fondos estables en Curve Finance por más de $26 millones en wETH y CRV.
Los grupos estables afectados utilizaban Vyper, que tenía un bloqueo de reentrada que no funcionaba correctamente.
El exploit fue seguido por un segundo ataque al grupo crv/eth, que provocó una salida de otros 14 millones de dólares.
El token nativo CRV perdió más del 19% de su valor, alcanzando un mínimo de cuatro semanas de 0,61 dólares.
El protocolo líder DeFi, Curve Finance, se convirtió hoy en el objetivo de múltiples exploits, donde los atacantes atacaron tres grupos estables, lo que resultó en una salida de más de 40 millones de dólares. El ataque inicial tuvo como objetivo los grupos de fábrica de Alchemix, Metronome y JPEGd, todos los cuales padecían una falla de seguridad llamada vulnerabilidad de reentrada.
Operación Whitehat interrumpida por la explotación financiera de la segunda curva
Según los datos compilados por la empresa de seguridad blockchain Ancilia, los grupos estables afectados, a saber, alETH, msETH y pETH, utilizaron un lenguaje de contrato inteligente pitónico llamado Vyper. Se informó que las versiones 0.2.15, 0.2.16 y 0.3.0 de Vyper eran vulnerables a bloqueos de reentrada que no funcionaban correctamente, lo que permitía al hacker retirar fondos repetidamente del contrato inteligente.
El atacante logró explotar Alchemix por una suma de 13,6 millones de dólares, mientras que el protocolo de préstamos NFT JPEGd perdió 11,4 millones de dólares. Se drenaron 1,6 millones de dólares del grupo sETH-ETH-f de Metronome DAO. Los tokens asociados con los tres proyectos experimentaron una importante tendencia a la baja tras los exploits.
Se anunció una operación de rescate de blancos poco después de que los informes de los exploits comenzaran a apoderarse de la comunidad criptográfica en Twitter. Curve Finance aseguró a la comunidad que los contratos crvUSD y los grupos asociados no se vieron afectados por los ataques. El protocolo DeFi ordenó además a todas las partes afectadas que se coordinaran con los esfuerzos de sombrero blanco.
La piscina de crv/eth se drenó minutos antes de una operación de whitehack :(https://t.co/rhALBzkTEi
– banteg (@bantg) 30 de julio de 2023
Sin embargo, antes de que la operación de sombrero blanco pudiera garantizar la seguridad de los fondos, se organizó otro ataque al grupo crv/eth. Los datos de Etherscan mostraron que el atacante drenó 7 millones de tokens Curve DAO (CRV) y 14 millones de dólares en Ether envuelto (wETH) en el exploit. Según se informa, la billetera utilizada en este exploit fue financiada por Binance. El último exploit elevó la pérdida total a más de 46 millones de dólares.
El aluvión de exploits tuvo un impacto significativo en los tokens de los proyectos afectados. CRV perdió más del 19% de su valor, alcanzando un mínimo de cuatro semanas de 0,61 dólares. En el momento de escribir este artículo, el token se cotizaba a 0,63 dólares.