Uma exploração recente envolvendo contratos de empréstimo não verificados na blockchain Base deixou a empresa em choque após causar uma perda de cerca de US$ 1 milhão. O incidente foi inicialmente relatado pela empresa de segurança blockchain Cyvers Alerts em 25 de outubro, que foi à plataforma de mídia social X para compartilhar a atualização.
Segundo a Cyvers, o invasor se aproveitou de uma falha grave nos contratos inteligentes relacionados ao Wrapped Ether (WETH).
Exploração da Blockchain Base: Como ela se desenrolou
O ataque teria começado com uma única transação na qual o invasor extraiu aproximadamente US$ 993,534 manipulando os dados de preço do contrato. Essa falha, mencionada anteriormente, permitiu ao invasor manipular o valor dos ativos na blockchain Base, facilitando a fuga dos fundos roubados.
A maior parte dos fundos inicialmente movimentados pelo invasor foi transferida para a rede Ethereum. Posteriormente, o invasor depositou cerca de US$ 202,549 no Tornado Cash para tentar encobrir seus rastros. Fundos adicionais, totalizando US$ 455,127, foram roubados usando o mesmo exploit.
Enquanto isso, o analista de segurança líder da Cyvers Alerts, Hakan Unal, atribuiu a recente exploração ao fato de que o oráculo usado pelos contratos afetados não era robusto o suficiente. Isso facilitou para o invasor acionar uma alteração de preço e capitalizar sobre o valor manipulado.
Unal então sugeriu que “um oráculo mais confiável e diversificado com maior liquidez” poderia ser usado para evitar manipulação de preços e prevenir ataques semelhantes no futuro, particularmente “para ativos como WETH”.
Problemas de segurança com finanças descentralizadas (DeFi)
A violação recente serve como um lembrete dos riscos associados às finanças descentralizadas (DeFi). Isso é especialmente verdadeiro quando os protocolos de segurança em torno de contratos inteligentes são fracos.
Por essas razões, especialistas sugerem que as plataformas DeFi devem ser diligentes na verificação de contratos de empréstimo.
Ao melhorar os protocolos de segurança, essas plataformas poderão proteger melhor os fundos dos usuários e evitar que eventos semelhantes ao que aconteceu com a Base ocorram novamente.
O agressor permanece não identificado e ainda não foi localizado após o grande roubo.
