A equipe por trás da exchange descentralizada (DEX) Raydium revelou detalhes sobre o hack sofrido em 16 de dezembro e apresentou uma proposta de compensação para as vítimas.

De acordo com uma postagem oficial da equipe no fórum da Raydium, o hacker conseguiu roubar mais de US$ 2 milhões em criptomoedas explorando uma vulnerabilidade nos contratos inteligentes da DEX que permitia que pools de liquidez inteiros fossem sacados pelos administradores, apesar dos recursos de segurança existentes para impedirem tal ato.

A equipe usará seus próprios tokens desbloqueados para compensar as vítimas que perderam seus tokens Raydium (RAY) durante o ataque. No entanto, o desenvolvedor não possui stablecoins ou outros tokens para compensar as vítimas, por isso está pedindo um voto de confiança dos detentores do RAY para usar o tesouro da organização autônoma descentralizada (DAO) para comprar os tokens de que não imediatamente dispõe para reembolsar os afetados pela exploração.

1/ Atualização sobre a compensação dos fundos perdidos por conta da exploração recente

Primeiro, obrigado pela paciência de todos até agora

Uma proposta inicial sobre um possível caminho a seguir foi publicada para discussão. A Raydium incentiva e agradece todos os comentários sobre a proposta.

— Raydium (@RaydiumProtocol)

De acordo com um relatório post-mortem publicado em separado, o primeiro passo do invasor para perpetrar a exploração foi obter o controle de uma chave privada do pool de administração. A equipe não sabe como essa chave foi obtida, mas suspeita que a máquina virtual que continha a chave foi infectada por um vírus trojan.

Uma vez que o invasor obteve a chave, ele ativou uma função para sacar as taxas de transação que normalmente iriam para o tesouro da DAO para serem usadas em recompras de RAY. No Raydium, as taxas de transação não vão automaticamente para o tesouro no momento em que uma transação é efetuada. Em vez disso, elas permanecem no pool do provedor de liquidez até serem retiradas por um administrador. No entanto, o contrato inteligente acompanha o valor das taxas devidas à DAO por meio de determinados parâmetros. Isso deveria ter impedido o invasor de sacar mais de 0,03% do volume total de negociação ocorrido em cada pool desde a última retirada.

No entanto, devido a uma falha no contrato inteligente, o invasor conseguiu alterar manualmente os parâmetros, fazendo parecer que todo o pool de liquidez era composto por fundos oriundos de taxas de transação. Isso permitiu que o invasor retirasse todos os fundos. Depois que os fundos foram retirados, o invasor conseguiu trocá-los manualmente por outros tokens e transferir os recursos para outras carteiras de sua propriedade.

Em resposta à exploração, a equipe atualizou os contratos inteligentes do aplicativo para remover o controle do administrador sobre os parâmetros que foram explorados pelo invasor.

Na postagem de 21 de dezembro, os desenvolvedores propuseram um plano para compensar as vítimas do ataque. A equipe usará seus próprios tokens RAY desbloqueados para compensar os detentores de RAY que foram prejudicados pelo ataque. Os desenvolvedores abriram um tópico de discussão no fórum para colher opiniões sobre um plano de compensação que utilizaria o tesouro da DAO para comprar outos tokens que foram perdidos no hack. A equipe e a comunidade da Raydium têm três dias para decidir a questão.

O hack de US$ 2 milhões do Raydium foi inicialmente divulgado em 16 de dezembro. Relatos iniciais sugeiam que o invasor havia usado a função retire_pnl para drenar a liquidez dos pools sem depositar tokens LP. Mas, como essa função deveria permitir apenas ao invasor remover as taxas de transação, o método real pelo qual eles poderiam drenar pools inteiros permaneceu desconhecido até que uma investigação mais completa fosse conduzida.

LEIA MAIS