Il gioco di battaglie Pokémon-like Aurory ha subito un exploit domenica sera che ha permesso all’attaccante di prelevare circa 600.000 token AURY per un valore di circa 830.000 dollari al momento dell’exploit. In definitiva, gli sviluppatori di Aurory hanno disattivato il suo ponte di blockchain SyncSpace che collega il gioco sia a Solana che alla rete di scaling Ethereum Arbitrum.
Raggiunto per un commento, il produttore esecutivo di Aurory Jonathan Campeau ha detto a TCN che il team sta attualmente lavorando per rilasciare una patch globale per i suoi servizi di backend per risolvere il problema.
“Si è trattato di un attacco di tipo race condition sul nostro mercato off-chain”, ha spiegato Campeau. “L’utente è stato in grado di inviare diverse richieste di acquisto contemporaneamente, il venditore ha ricevuto il doppio dell’importo e l’acquirente è stato addebitato solo una volta”.
L’exploit del marketplace ha causato un crollo dell’80% della liquidità di AURY-USDC sull’exchange decentralizzato Camelot, e il prezzo di AURY è sceso di circa il 17% dall’inizio di domenica, secondo i dati di CoinGecko, il che significa che il valore di circa 830.000 dollari di AURY sottratto varrebbe ora circa 690.000 dollari al momento in cui scriviamo. Dopo aver visto un calo fino a circa 0,95 dollari per token AURY, il suo prezzo è poi rimbalzato a circa 1,15 dollari.
Solo poche ore fa, il nostro team ha rilevato un’attività insolita sul nostro mercato. Dopo aver indagato rapidamente, abbiamo scoperto che un malintenzionato è riuscito a sfruttare l’endpoint di acquisto del nostro marketplace, consentendogli di aumentare il proprio saldo $AURY in SyncSpace. Questo ha permesso loro di ritirarsi…
– Aurory (@AuroryProject) Dicembre 17, 2023
Il team di Aurory ha inoltre spiegato su Twitter che l’exploit del marketplace ha permesso di prelevare fondi da un portafoglio del team di sviluppatori di Aurory e spostare i token su Arbitrum. Secondo lo studio, nessun fondo dell’utente o NFT è stato rubato o è attualmente a rischio.
“Con l’uscita di Seekers, abbiamo avuto molti occhi puntati su di noi e sfortunatamente anche molti malintenzionati stanno cercando di hackerare i nostri sistemi”, ha dichiarato Campeau a TCN, riferendosi alla recente espansione del gioco Aurory Seekers of Tokane annunciata il mese scorso.
La piattaforma di Aurory era stata precedentemente controllata da una società di sicurezza informatica, Ottersec, che non aveva rilevato il problema, ha dichiarato Campeau a TCN.
Questo tipo di attacco non rientra nel loro campo di applicazione, da quanto mi è stato detto”, ha detto Campeau.
“Concordiamo con il commento di Campeau sul fatto che questo problema, purtroppo, non rientrava nell’ambito della nostra verifica. Detto questo, stiamo lavorando con il team di Aurory per cercare di recuperare i beni e procedere con le fasi successive”, ha dichiarato il fondatore di OtterSec Robert Chen a TCN via e-mail il 21 dicembre.
Come molti exploit e attacchi di criptovaluta, quello che è successo ad Aurory poteva essere evitato, ha dichiarato a TCN David Schwed, COO della società di cybersicurezza Halborn.
“Se un aggressore è stato in grado di sfruttare il mercato, allora teoricamente la vulnerabilità poteva essere scoperta e prevenuta”, ha sostenuto Schwed, aggiungendo che un audit di terze parti non è sufficiente da solo per mantenere alti livelli di sicurezza della piattaforma.
Una volta risolto l’exploit, il team di Aurory prevede di riportare online il suo ponte “nei prossimi giorni”.
Quest’anno Aurory ha continuato a sviluppare il suo ecosistema di gioco con l’imminente lancio di Seekers of Tokane su Epic Games Store. Mentre lo studio ha lanciato per la prima volta i NFT su Solana, si è espanso ad Arbitrum a luglio, adottando un approccio multi-catena al gioco blockchain.
