Diversi pool stabili su Curve Finance sono stati sfruttati per oltre 26 milioni di dollari in wETH e CRV.
Le piscine stabili interessate utilizzavano Vyper che aveva un blocco di rientro malfunzionante.
L'exploit è stato seguito da un secondo attacco al pool crv/eth, che ha portato a un deflusso di altri 14 milioni di dollari.
Il token nativo CRV ha perso oltre il 19% del suo valore, raggiungendo il minimo di quattro settimane di 0,61 dollari.
Il protocollo DeFi leader Curve Finance è diventato oggi l'obiettivo di numerosi exploit in cui gli aggressori hanno colpito tre pool stabili provocando un deflusso di oltre 40 milioni di dollari. L'attacco iniziale ha preso di mira i pool di fabbrica di Alchemix, Metronome e JPEGd, che soffrivano tutti di una falla di sicurezza chiamata vulnerabilità di rientro.
L'operazione Whitehat interrotta dall'exploit finanziario della seconda curva
Secondo i dati compilati dalla società di sicurezza blockchain Ancilia, i pool stabili interessati, vale a dire alETH, msETH e pETH, utilizzavano tutti un linguaggio Pythonic Smart Contract chiamato Vyper. Secondo quanto riferito, le versioni 0.2.15, 0.2.16 e 0.3.0 di Vyper erano vulnerabili al malfunzionamento dei blocchi di rientro, che consentivano all'hacker di prelevare ripetutamente fondi dal contratto intelligente.
L'aggressore è riuscito a sfruttare Alchemix per una somma di 13,6 milioni di dollari, mentre il protocollo di prestito NFT JPEGd ha perso 11,4 milioni di dollari. $ 1,6 milioni sono stati drenati dal pool sETH-ETH-f di Metronome DAO. I token associati a tutti e tre i progetti hanno registrato un significativo trend al ribasso in seguito agli exploit.
Un'operazione di salvataggio da parte dei bianchi è stata annunciata subito dopo che le segnalazioni degli exploit hanno iniziato a prendere il sopravvento sulla comunità crittografica su Twitter. Curve Finance ha assicurato alla comunità che i contratti crvUSD e i pool associati non sono stati colpiti dagli attacchi. Il protocollo DeFi ha inoltre invitato tutte le parti interessate a coordinarsi con gli sforzi del cappello bianco.
pool crv/eth svuotato pochi minuti prima di un'operazione di whitehack :(https://t.co/rhALBzkTEi
– banteg (@bantg) 30 luglio 2023
Tuttavia, prima che l’operazione white hat potesse garantire la sicurezza dei fondi, è stato sferrato un altro attacco al pool crv/eth. I dati di Etherscan hanno mostrato che l'aggressore ha prosciugato 7 milioni di Curve DAO Token (CRV) e 14 milioni di dollari di Ether (wETH) avvolto nell'exploit. Secondo quanto riferito, il portafoglio utilizzato in questo exploit è stato finanziato da Binance. L’ultimo exploit ha portato la perdita totale a oltre 46 milioni di dollari.
La raffica di exploit ha avuto un impatto significativo sui token dei progetti interessati. CRV ha perso oltre il 19% del suo valore, raggiungendo il minimo di quattro settimane di 0,61 dollari. Al momento della stesura di questo articolo, il token veniva scambiato a 0,63 dollari.