Plataforma descentralizada de negociação de alavancagem na Avalanche, Defrost finance informou que todos os fundos perdidos devido a uma exploração na sua plataforma em 23 de dezembro foram devolvidos em 26 de dezembro após reclamações de um possível puxão de tapete.
Os fundos pirateados foram devolvidos a DefrostFinance
Os utilizadores afectados poderão muito em breve reclamar os seus bens de volta.
Detalhes – Defrost Finance (@Defrost_Finance) 26 de Dezembro de 2022
Defrost Finance afirmou que devolveria todos os fundos perdidos aos utilizadores explorados depois de digitalizar os dados na cadeia para determinar a propriedade e a quantidade de fundos pertencentes a cada utilizador afectado.
Anteriormente, o protocolo baseado na Avalanche relatou que a plataforma tinha sido pirateada, com um atacante a retirar fundos utilizando a função de empréstimo flash.
Em 24 de Dezembro, a empresa alegou que apenas o seu produto V2 foi afectado, e o V1 permaneceu seguro.
Defrost Finance é triste ao anunciar que o nosso V2 sofreu um hack, com um atacante a usar uma função de empréstimo flash para retirar fundos.
O V1 não é afectado. Em breve fecharemos o V2 UI e investigaremos mais com a nossa equipa técnica.
As actualizações serão publicadas nos nossos canais oficiais.
– Defrost Finance (@Defrost_Finance) Dezembro 24, 2022
No entanto, no dia 25 de Dezembro, a equipa informou que o hacker também obteve a chave do proprietário para um ataque maior ao produto V1 da plataforma.
O hacker ganhou quase $173k com a exploração, de acordo com a empresa de análise de cadeias de bloqueio PeckShield.
O @Defrost_Finance é explorado, levando ao ganho de ~$173k para o hacker. O hack é tornado possível devido à falta de bloqueio de reentrância para as funções flashloan()/deposit(), que foi utilizado pelo hacker para manipular o preço das acções do LSWUSDC. pic.twitter.com/SINHUZXC0D
– PeckShieldAlert (@PeckShieldAlert) Dezembro 23, 2022
Upon análise mais aprofundada, PeckShield revelou que foi adicionado um falso símbolo colateral. Um oráculo de preço malicioso foi utilizado para liquidar os utilizadores actuais por uma perda total de mais de 12 milhões de dólares, indicando um possível puxão de tapete.
Além disso, a empresa de segurança Certik alegou que a exploração era um esquema de saída depois de não conseguirem qualquer resposta às suas questões por parte da equipa Defrost Finance.
Em 24 de Dezembro vimos um exitscam em @Defrost_Finance
Tentámos contactar vários membros da equipa, mas não obtivemos resposta.
A equipa não está KYC’d mas estamos a utilizar toda a informação que temos para ajudar as autoridades pic.twitter.com/XC009dM40T
– CertiK Alert (@CertiKAlert) 26 de Dezembro de 2022
Na mesma nota, DeFiYieldApp, uma empresa de segurança Web3, tweeted que avisou a Comunidade DeFi há um ano atrás sobre a vulnerabilidade do contrato inteligente do Defrost Finance que permite à empresa de rugpull aos seus utilizadores.
Apesar de não haver indicações claras de que o hack tenha sido um “rug pull”, a empresa mostrou vontade de negociar com os hackers para devolver fundos.
Em 25 de Dezembro, o valor total dos fundos bloqueados no protocolo tinha caído para menos de $93.000 de $13,16 milhões após o ataque, segundo dados da DefiLlama.
