O projeto DeFi WLFI informou que utilizou um mecanismo de lista negra onchain para bloquear com sucesso as tentativas de ataque direcionadas a usuários comprometidos.

O projeto financeiro descentralizado (DeFi) World Liberty Financial (WLFI) informou que conseguiu bloquear com sucesso várias tentativas de ataque durante o evento de lançamento do token, graças à aplicação de um mecanismo de segurança proativo: colocar diretamente as carteiras comprometidas na lista negra na blockchain.

Na declaração do dia 3/9, a equipe de desenvolvimento afirmou que os ataques não se originaram de uma vulnerabilidade do contrato inteligente, mas sim do vazamento da chave privada dos usuários. Segundo a WLFI, uma carteira designada realizou transações de 'mass blacklisting' para desativar contas comprometidas logo antes do lançamento oficial, protegendo assim com sucesso o Lockbox — um mecanismo de vesting projetado para garantir a segurança das alocações de tokens bloqueados.

O projeto também está colaborando com os usuários afetados para ajudar a recuperar o acesso aos ativos, demonstrando uma abordagem equilibrada entre os fatores de segurança centralizada e a descentralização no suporte à comunidade.

O evento de lançamento do WLFI desbloqueou 24,6 bilhões de tokens, tornando-se um alvo atraente para agentes maliciosos. Além dos ataques diretos, a empresa de análise Bubblemaps descobriu várias fraudes sofisticadas, destacando-se os 'bundled clones' — contratos inteligentes falsos que simulam projetos reais para roubar ativos.

Yu Xian, fundador da empresa de segurança SlowMist, também alertou que alguns usuários foram esvaziados de tokens devido a ataques de phishing que exploram a Proposta de Melhoria do Ethereum (EIP)-7702. Esta é uma atualização no roteiro Pectra do Ethereum, que permite que carteiras comuns (EOA) operem temporariamente como carteiras de contratos inteligentes para melhorar a experiência do usuário. No entanto, esse recurso também cria um novo vetor de ataque.

Segundo o especialista em auditoria de contratos inteligentes Arda Usman, o atacante pode enganar a vítima para assinar uma mensagem offchain que parece inofensiva, e então usar essa assinatura para ativar uma transação onchain, assim sequestrando os ativos na carteira.