A Sentiment, uma plataforma de finanças descentralizadas (DeFi) que oferece serviços de empréstimos e financiamentos na rede de camada 2 da Arbitrum, foi atingida por uma exploração maliciosa em 4 de abril, resultando em uma perda de quase US$ 1 milhão.
O invasor usou um bug de reentrada no Balancer, um protocolo de liquidez com o qual o Sentiment se integra, para executar transações fraudulentas e drenar fundos da plataforma.
De acordo com a conta oficial do Sentiment no Twitter, a equipe notou uma atividade anormal de empréstimo por volta das 18h UTC de 4 de abril e imediatamente pausou o contrato principal para evitar mais perdas.
A equipe também contou com a ajuda de especialistas em segurança terceirizados da PeckShield, que confirmaram a natureza e a extensão do ataque e forneceram uma correção para a vulnerabilidade.
1/4A atualização de status sobre a situação atual: Aproximadamente às 18:00:00 +UTC, a equipe do Sentiment tomou conhecimento de uma atividade de empréstimo anormal que agora foi declarada como uma exploração maliciosa.
— Sentiment (@sentimentxyz) 5 de abril de 2023
A Sentiment disse que os usuários agora podem pagar suas dívidas e sacar seus fundos e que está trabalhando com as autoridades policiais e outras partes para rastrear o hacker e recuperar os ativos criptográficos roubados.
Você também pode gostar: Protocolo DeFi Euler Finance sofre um hack de US$ 197 milhões
O consultor de segurança da plataforma, PeckShield, publicou uma análise detalhada da exploração em seu blog, explicando como o invasor explorou um bug de reentrada de visualização no Balancer para manipular saldos de pool e supercolateralizar seus empréstimos no Sentiment.
Segundo Peckshield, o invasor então usou empréstimos rápidos para tomar emprestado e liquidar grandes quantias de tokens da Sentiment, levando cerca de US$ 1 milhão em criptomoedas.
A causa raiz é conhecida como a reentrada somente leitura do Balancer: https://t.co/ynuWr6PZMR. Aqui está o tx relacionado: https://t.co/iqvS48njau https://t.co/Mxkc1xoJn5 pic.twitter.com/IPzmtLKrBx
— PeckShield Inc. (@peckshield) 5 de abril de 2023
Exploits DeFi em ascensão
O ataque ao Sentiment é o mais recente de uma série de roubos visando plataformas DeFi. Em 13 de março, a Euler Finance estava no lado errado de um ataque de empréstimo rápido que levou à perda de US$ 197 milhões em ativos digitais.
A análise de Peckshield sobre o ataque supôs que o explorador aproveitou uma falha na lógica de doação e liquidação da Euler Finance para roubar o dinheiro.
No entanto, o hacker devolveu os fundos roubados após semanas de grande drama, que incluiu uma oferta de recompensa de um milhão de dólares de Euler, ameaças de ação legal e uma confissão de remorso do perpetrador.
Esses ataques ampliaram os riscos de segurança que as plataformas DeFi enfrentam, principalmente quando dependem de protocolos externos que podem ter falhas ou vulnerabilidades ocultas.
A indústria cripto perdeu mais de US$ 3 bilhões para hackers e golpistas em 2022, e este ano viu um ressurgimento desses assaltos e furtos. Só no último mês, conforme relatado pelo crypto.news, hackers roubaram mais de US$ 21 milhões de protocolos DeFi.
Leia mais: Paxful suspende mercado e pode não retornar