Noviembre lleva apenas tres días y ya ha visto múltiples hacks en el espacio de las criptomonedas. El último, un exploit llevado a cabo en Skyward Finance, el proyecto de plataforma de lanzamiento del Protocolo NEAR, en el que un hacker desconocido desvió 3 millones de dólares.
El equipo de Skyward Finance reconoció el exploit y se apresuró a responder en Twitter este 3 de noviembre una vez que fue alertado, pero con los contratos bloqueados, no pudieron hacer nada. El proyecto explicó:
Lamentamos informar de que el Tesoro de Skyward ha sido vaciado a través de un exploit del contrato, haciendo que el Tesoro y el token $SKYWARD no tengan ningún valor. Sin embargo, las ventas de tokens actuales y anteriores no se han visto afectadas.
We regret to inform you that the Skyward Treasury has been drained through a contract exploit, rendering the Treasury and the $SKYWARD token effectively worthless. However, current and previous token sales are unaffected.🧵
— Skyward Finance (@skywardfinance) November 2, 2022
Como ocurrió el hackeo
Sanket Naikwadi, miembro de Aurora Labs, fue quien sacó a la luz el ataque por primera vez en Twitter. Naikwadi dijo que Sky Finance había sido explotada para obtener 1,1 millones de tokens NEAR, valorados actualmente en unos 3,3 millones de dólares.
The @skywardfinance was just exploited for ~1.1M $NEAR Tokens (Worth ~3M) . 😢
Thnx to @NearScout for noticing the treasury drain, he pinged me asking if something is wrong with skyward… then we looked into contract txns and found out about the exploit and sus txns.
smol 🧵
— SankΞt Ⓝ | sanketn81.polygon / near / lens (🐲,💚) (@sanket_naikwadi) November 2, 2022
El perpetrador comenzó comprando lotes de tokens SKYWARD en Ref.finance. Estos tokens fueron luego canjeados a través de la tesorería en Skyward Finance. «Mirando el txn parece que pasó múltiples argumentos en un solo txn. así que por cada valor extra pasado, obtuvo un canje extra sin tener SKYWARD Tokens«. afirmó Naikwadi.
Este proceso se repitió hasta que la tesorería se vació por completo de todos los tokens NEAR envueltos. Según CoinGecko el token perdió más del 95% de su valor desde el ataque. En cuanto a NEAR, DeFi Llama reveló que su valor total bloqueado (TVL) se desplomó casi un 6%.
Skyward instó a sus usuarios a retirar fondos y abstenerse de interactuar con la plataforma.
Única transacción
La empresa de seguridad BlockSec informó que el exploit a la plataforma de código abierto de tipo permission-less (sin permisos) se perpetró en una sola transacción. En ella, el hacker canjeó más de 1,1 millones de tokens Near envueltos (3 millones de dólares) en un bucle del contrato de tesorería de Skyward.
1/ @skywardfinance fue atacado por https://explorer.near.org/accounts/5ebc5ecca14a44175464d0e6a7d3b2a6890229cd5f19cfb29ce8b1651fd58d39… en la transacción https://explorer.near.org/transactions/92Gq7zehKPwSSnpoZ7LGGtSmgmBb4wP2XNDVJqUZRGqz… La pérdida es de más de 1M $NEAR Tokens. @NEARProtocolo
1/ @skywardfinance was attacked by https://t.co/vH0CyHE24Q in transaction https://t.co/2vhkZ6QlX2. The loss is more than 1M $NEAR Tokens. @NEARProtocol pic.twitter.com/5yiTC6lc27
— BlockSec (@BlockSecTeam) November 3, 2022
El contrato era público y cualquiera que quisiera canjear tokens de Skyward Finance por tokens Near envueltos, podía utilizarlo. En un comunicado, BlockSec dijo que descubrió un error en la función de canje de tokens del contrato que no comprobaba existencia de IDs de cuentas de tokens duplicados.
Noviembre apenas comienza y el espacio de las criptomonedas ya ha perdido más de 33 millones de dólares por exploits y hackeos. El de Skyward se produce justo un día después de que el exchange de criptomonedas Derbit viera comprometida su cartera caliente, provocando una pérdida de 28 millones de dólares.
Sólo en octubre, más de 650 millones de dólares se perdieron en 44 exploits.