Pythia é atingida por ataque de reentrada
O protocolo financeiro descentralizado Pythia Finance perdeu US$ 53.000 por meio de um ataque de reentrada em 3 de setembro, de acordo com um relatório da empresa de segurança de blockchain Quill Audits. Pythia é um projeto de stablecoin algorítmica que visa usar inteligência artificial para gerenciar seu tesouro.
O invasor chamou a função de reivindicação de recompensas repetidamente, sem permitir que o saldo de recompensas fosse atualizado após cada chamada, o que lhe permitiu coletar mais recompensas do que tinha direito.
De acordo com o relatório, o invasor conseguiu chamar essa função repetidamente e em rápida sucessão porque a Pythia chamou a função de transferência segura de tokens quando as recompensas foram distribuídas. Assim, um contrato de token malicioso poderia chamar de volta a Pythia, fazendo com que a Pythia o chamasse de volta novamente, e resultando em uma reação em cadeia que poderia drenar os fundos dos protocolos.
O relatório de auditoria parcial da Quill Audits para Pythia não mostra nenhum problema de segurança não resolvido, o que sugere que a equipe pode ter atualizado o contrato para evitar qualquer uso posterior dessa exploração.
Um ataque de reentrada, em que um invasor chama uma função repetidamente sem permitir que seu código seja totalmente executado, é um dos tipos mais comuns de exploração de contratos inteligentes.
Vulnerabilidade crítica do Zyxel
Em 4 de setembro, o fabricante de hardware de rede Zyxel divulgou uma vulnerabilidade crítica em alguns de seus dispositivos de rede que poderia ter permitido que invasores executassem códigos em roteadores e pontos de acesso de usuários, potencialmente permitindo que hackers obtivessem acesso aos dispositivos dos usuários.
De acordo com a divulgação, a vulnerabilidade foi o resultado da neutralização imprópria de elementos especiais no host de parâmetros no programa CGI de várias versões de firmware diferentes. Por causa dessa neutralização imprópria, essas versões de firmware podem permitir que um invasor não autenticado execute comandos do SO enviando um cookie criado para um dispositivo vulnerável.
Usuários de carteiras criptográficas devem ser especialmente cautelosos sobre potenciais ataques contra suas redes domésticas. Se um invasor obtiver acesso à rede doméstica de um usuário, ele pode usar esse acesso para redirecionar o tráfego de um usuário por meio de spoofing de DNS, visualizar quaisquer dados não criptografados enviados pela rede ou usar inspeção profunda de pacotes para descriptografar dados criptografados. Os dados obtidos podem ser usados para ataques de engenharia social para convencer o usuário a aprovar transações ou compartilhar suas chaves privadas.
A Zyxel forneceu uma lista de dispositivos potencialmente afetados, que inclui o NWA50AX PRO, NWA90AX, WAC500 e outros pontos de acesso, bem como o roteador USG LITE 60AX. O fabricante aconselhou os usuários desses dispositivos a atualizarem seus firmwares.
Explorador de Penpie criou o falso Pendle Market
O exploit Penpie de US$ 27 milhões foi possível por causa de uma falha que permitia que qualquer usuário criasse um mercado Pendle, de acordo com um relatório de 4 de setembro da empresa de segurança de blockchain Zokyo. O relatório alega que uma versão anterior do protocolo foi auditada pela Zokyo, mas não continha a falha na época.
Penpie contém uma função chamada registerPenpiePool que pode ser usada para registrar um novo endereço de pool e Pendle Market, afirmou o relatório. Para evitar que mercados maliciosos se registrem, ele contém um modificador que verifica se o Pendle Market já está listado no contrato de fábrica da Pendle Finances. Se não estiver listado neste contrato de fábrica, então não pode ser registrado. No entanto, qualquer usuário pode listar seu mercado no contrato de fábrica chamando a função createNewMarket no contrato de fábrica. De acordo com o relatório, isso significa essencialmente que qualquer usuário pode criar um Pendle Market e registrá-lo.
O invasor explorou essa vulnerabilidade para criar um mercado e um pool Pendle falsos, que foram configurados para fornecer tokens Pendle valiosos como recompensas.
Função createNewMarket da Pendle Finance. Fonte: Zokyo.
O protocolo também continha uma falha de reentrada que permitia que qualquer mercado depositasse tokens repetidamente e antes que outros saldos pudessem ser atualizados. O invasor chamou a função de depósito repetidamente, inflando artificialmente as recompensas a serem ganhas. Eles então retiraram o depósito e reivindicaram as recompensas, drenando o protocolo de mais de US$ 27 milhões.
De acordo com o relatório, a falha de reentrada existia na versão que a Zokyo auditou. Mas nessa versão, apenas a equipe do protocolo teria sido capaz de registrar um novo pool e mercado, o que deveria ter impedido um invasor externo de fazer uso dele. O relatório afirma:
Não era esperado que o parâmetro _market recebido no método batchHarvestMarketRewards(…) fosse malicioso, pois na versão anterior do código auditado pela Zokyo, somente o proprietário (multi-sig) pode registrar um pool.
Em um relatório separado publicado em 3 de setembro, a equipe da Penpie alegou que introduziu o registro de pool sem permissão aproximadamente um ano após a Zokyo realizar sua auditoria. Na época, ela contratou a empresa de segurança AstraSec para auditar o novo sistema de registro. No entanto, apenas os novos contratos estavam no escopo desta auditoria. Como a exploração resultou de uma interação entre dois contratos diferentes auditados por duas equipes diferentes, nenhuma delas detectou a vulnerabilidade. A Penpie alegou que fará auditorias periódicas de todo o protocolo no futuro para garantir que incidentes como este não aconteçam novamente.
Penpie é um protocolo financeiro descentralizado que tenta fornecer aumento de rendimento para usuários do Pendle Finance. O exploit contra ele ocorreu em 3 de setembro.