O Protocolo Orion – um agregador de liquidez para bolsas CeFi e DeFi – viu seu contrato principal ser hackeado na quinta-feira em suas implantações Ethereum e Binance Smart Chains (BSC).
O hacker arrecadou mais de 1.700 ETH, valendo cumulativamente mais de US$ 3 milhões no momento da escrita.
Outro hack de reentrada
Conforme explicado pela empresa de segurança blockchain PeckShield no Twitter, o hack de quinta-feira foi possível “devido à proteção incompleta de reentrada”. Um bug de reentrada refere-se a quando um invasor pode retirar fundos repetidamente de um contrato inteligente sem nenhum custo.
PeckShield elaborou que a função swapThroughOrionPool permite que qualquer pessoa com tokens criados sequestre sua transferência para entrar novamente na função de ativo de depósito. Isso permite que os usuários aumentem seu saldo sem qualquer custo real de fundos.
Nesse caso, o hacker usou um token recém-construído chamado ATK e um contrato inteligente autodestrutivo para manipular os pools de Orion.
4/ O hack é iniciado primeiro no BSC com fundo inicial de 0,4 BNB de @TornadoCash. O hack ETH extrai um fundo inicial de 0,4 ETH de @SimpleSwap_io. Após o hack, o ganho de 1100 ETH é depositado em @TornadoCash e outros 657 ETH ficam na conta do hacker: https://t.co/wGG6RA0qii pic.twitter.com/lRj9HGEgQc
-PeckShield Inc. (@peckshield) 3 de fevereiro de 2023
Alexey Koloskov, CEO da Orion, publicou um tópico explicando a exploração logo após sua ocorrência.
“Temos razões para acreditar que o problema não foi resultado de quaisquer deficiências em nosso código de protocolo principal, mas sim pode ter sido causado por uma vulnerabilidade na mistura de bibliotecas de terceiros em um dos contratos inteligentes usados por nossos corretores experimentais e privados. ," ele disse.
Koloskov observou que o contrato explorado não era de grande importância para o público, mas foi usado principalmente por um de seus corretores experimentais com o tesouro da empresa. Os fundos dos usuários, disse ele, são 100% seguros.
No entanto, a função de depósito do Orion foi fechada e não será reaberta até que o bug seja corrigido e as auditorias adequadas tenham sido realizadas.
O Honeypot DeFi
O dinheiro roubado através de hacks DeFi está crescendo ao longo do tempo: em 2022, US$ 3,8 bilhões foram roubados, com US$ 1,7 bilhão em criptografia levados apenas por hackers norte-coreanos.
Grande parte desse dinheiro foi levado pelo grupo norte-coreano Lazarus, que é suspeito de ter executado o hack da ponte Harmony de US$ 100 milhões em junho.
Alguns dos alvos mais lucrativos para hacks de criptografia têm sido pontes de blockchain – onde são armazenadas as criptomoedas que respaldam suas variantes tokenizadas que circulam em outras blockchains.
Em outubro, a Binance Smart Chain (BSC) foi pausada pelos validadores depois que um hacker cunhou 2 milhões de BNB (no valor de US$ 600 milhões na época) do nada, explorando a ponte blockchain. Grande parte do BNB foi rapidamente transferida para outras redes na sequência.
O posto Protocolo Orion hackeado por US$ 3 milhões por meio de ataque de reentrada apareceu pela primeira vez no CryptoPotato.