De acordo com a CertiK, a conta de um invasor utilizou uma função ilegível para transferir US$ 1,4 milhões em BSC-USD sem queimar os tokens LP equivalentes. Os insights de blockchain e a plataforma de segurança revelaram que o BSC-USD foi drenado em 10 de setembro de um pool de liquidez que continha tokens CUT.
CertiK alegou que o contrato do token CUT dependia de um contrato separado não verificado para definir seu “parâmetro de rendimento futuro”, permitindo a extração do BSC-USD por meio de métodos misteriosos em quatro transações separadas. De acordo com CertiK, o token CUT explorado diferia do projeto Crypto Unit com o mesmo símbolo de ticker, mas localizado em um endereço diferente terminando em “36a7” na Binance Smart Chain. O par afetado era “0x83681F67069A154815a0c6C2C97e2dAca6eD3249”, de acordo com as descobertas de CertiK.
Exploração com tokens CUT leva a mais de US$ 1,4 milhão em perdas
Vimos uma exploração de flashloan envolvendo o token CUT
BSC: 0x7057F3b0F4D0649B428F0D8378A8a0E7D21d36a7
O contrato CUT usa ILPFutureYieldContract(_lpFutureYieldContractAddress) em 0x0917914b0A70ee7F1f2460Fcd487696856E31154 que não é verificado e contém… foto.twitter.com/ycE4Px3Nxy
— Alerta CertiK (@CertiKAlert) 10 de setembro de 2024
CertiK descobriu uma exploração de flashloan envolvendo um contrato de token CUT usando “ILPFutureYieldContract(_lpFutureYieldContractAddress) em 0x0917914b0A70ee7F1f2460Fcd487696856E31154,” que não foi verificado e continha funcionalidade oculta. A plataforma de segurança de criptomoedas afirmou que o invasor manipulou o CUT usando FutureYield para ganhar quase US$ 1,4 milhão do par de panquecas BUSD-CUT. CertiK confirmou que os fundos estavam atualmente mantidos em “0x5766d1F03378f50c7c981c014Ed5e5A8124f38A4.”
Certik revelou que o pool drenado era parte da bolsa Pancakeswap, mas nenhum outro pool Pancakeswap foi afetado. Dados de blockchain revelado que o invasor realizou quatro transações separadas para remover $ 1.448.974 de um pool BSC-USD. A CertiK afirmou que foi alertada sobre a transação ilegítima, pois o invasor não fez nenhum depósito no pool nem possuía nenhum token de provedor de liquidez.
Conforme o relatório da CertiK, o invasor chamou a função “0x7a50b2b8” que não existia no contrato do token. O relatório revelou que o invasor deve ter chamado “ILPFutureYieldContract(),” permitindo a chamada de outra função em um contrato não verificado totalmente separado com um endereço terminando em “1154,” mostrando apenas um bytecode ilegível. Neste caso, os provedores de liquidez da CUT perderam coletivamente US$ 1,4 milhões devido à exploração.
Explorações de criptomoedas aumentam em 2024 com mais de US$ 310 milhões em perdas em agosto
Dados da CertiK mostrou que mais de US$ 310 milhões foram perdidos em uma combinação de hacks, golpes e explorações em agosto de 2024. Os dados confirmaram que esta foi a segunda maior perda mensal em 2024. De acordo com os dados, ~US$ 0,8 milhão foi perdido em golpes de saída, ~US$ 1,2 milhão em empréstimos rápidos e US$ 308,8 milhões em explorações, enquanto apenas US$ 10,3 milhões foram recuperados.
Os dados da CertiK revelaram que as vítimas de phishing perderam um total de US$ 293 milhões. Notavelmente, os principais ataques de empréstimo rápido em agosto resultaram em perdas para Vow (US$ 1,2 milhão), MintStakeShare (US$ 33,5 mil) e Satoshi (US$ 5 mil), enquanto os principais golpes de saída resultaram em perdas para o token Grimace (US$ 649 mil), Sigma (US$ 136 mil) e token Mbappe (US$ 88 mil). As principais explorações em agosto foram experimentadas pela Ronin Network (US$ 11,8 milhões), Nexera (US$ 448,8 mil), Convergence (US$ 210 mil), iVest DAO (US$ 172 mil) e AAVE Periphery Ctr (US$ 64 mil).
A Immunefi divulgou que mais de US$ 1,2 bilhão foi perdido para hackers de criptomoedas em 2024, o que representa um aumento de 15,5% em comparação ao mesmo período em 2023.
