Em 25 de setembro, uma carteira vinculada ao pesquisador de segurança pseudônimo Quit retirou 3.832 NFTs de centenas de carteiras sem relação entre si, o primeiro sinal visível de uma operação de resgate baseada em uma falha no contrato Payment Processor V2 da LimitBreak.
A operação acabou transferindo 23.155 NFTs avaliados em quase US$ 6 milhões, enquanto uma via de exploração separada deixou 660 WETH sem recuperação.
Operação de chapéu branco transfere milhares de NFTs
O incidente chamou atenção pela primeira vez quando o trader de NFTs Cirrus relatou que uma carteira havia drenado 3.832 NFTs de mais de 100 carteiras. Quit, que também é vice-presidente de blockchain da Yuga Labs, confirmou posteriormente que as transferências faziam parte de uma operação de chapéu branco.
“Tudo o que está em 0x71cF3f5724bD2B72Ef6464992aCd26216DE7fe33 está seguro e será devolvido assim que não estiver mais em risco”, escreveu o pesquisador.
Ele explicou que o problema subjacente envolvia o Payment Processor V2. Às 9h, no horário da costa leste dos EUA, um invasor usou a falha para levar 10 Meebits, 50 Otherdeeds, 10 NFTs World of Women e 235 Despertae Apewives.
Quit então descobriu que muitos outros NFTs estavam expostos à mesma vulnerabilidade, mas a situação era complicada pelo fato de que o V2 não podia ser pausado. A LimitBreak conseguiu pausar o Payment Processor V3 após ser contatada, mas o V3 na ApeChain também não pôde ser pausado temporariamente.
“A única maneira de proteger os ativos afetados era realizar uma operação de chapéu branco”, observou Quit.
No total, 23.155 NFTs foram resgatados, e o pesquisador estimou seu valor em aproximadamente US$ 6 milhões. Mais tarde, os proprietários poderão reivindicar os ativos após revogar as aprovações vulneráveis.
No entanto, o resgate não recuperou todos os ativos expostos à falha, pois Quit descobriu posteriormente que a vulnerabilidade também poderia ser explorada ao contrário para roubar WETH, colocando 660WETH em risco.
“Passei a noite inteira trabalhando para salvar cerca de US$ 6 milhões em NFTs, e só consigo pensar nos US$ 1,7 milhão em WETH para os quais não fui rápido o suficiente”, disseram no X.
Uma segunda violação no mesmo dia
O incidente com os NFTs aconteceu quase ao mesmo tempo que uma violação na Bitget, em que hackers transferiram mais de US$ 351 milhões de uma parte das carteiras quentes e mornas da empresa, enquanto o armazenamento a frio, que detém a maior parte dos ativos da corretora, permaneceu intocado.
Como CryptoPotato informou mais cedo hoje que a CEO da Bitget, Gracy Chen, atribuiu a perda a um sistema de back-end comprometido, que permitiu que um invasor falsificasse dados de transações, e não a uma chave privada roubada. Ela também afirmou que os clientes afetados serão reembolsados com recursos do fundo de proteção aos usuários da Bitget, de US$ 464 milhões.
O XRP representou a maior parcela individual da criptomoeda roubada: mais de 100 milhões de unidades, avaliadas em mais de US$ 158 milhões, distribuídas por um punhado de carteiras.
Fonte: CryptoPotato
