Bedrock DeFi, un protocollo DeFi basato su Bitcoin con un asset avvolto, è stato prosciugato di 1,7 milioni di dollari. Il furto di uniBTC è avvenuto appena un giorno dopo un attacco contro Onyx Finance.
Bedrock DeFi è stato sfruttato per 1,7 milioni di dollari in uniBTC, poiché il pool di restaking è stato prosciugato tramite un exploit di contratto intelligente. Dopo aver studiato l'attacco, Bedrock ha chiuso il problematico contratto intelligente, evitando ulteriori exploit . L'hacker è stato in grado di coniare uniBTC senza limiti, esponendo potenzialmente tutti i pool e le coppie di trading correlati.
L'exploit è stato inizialmente scoperto dal team di analisi di Dedaub, che ha subito provato a contattare gli sviluppatori di Bedrock. Tuttavia, meno di tre ore dopo, un altro utente malintenzionato ha applicato tale conoscenza e ha creato uniBTC in eccesso.
Bedrock DeFi ha annunciato che l'exploit ha interessato solo uniBTC, un'altra forma tokenizzata di BTC. Le riserve sottostanti rimangono al sicuro e il protocollo ha risolto il problema. La piattaforma detiene più di 243 milioni di dollari in asset picchettati da varie reti, tra cui Bitcoin ed Ethereum. Bedrock DeFi mirava a offrire re-staking liquido multi-catena, in cui gli asset inattivi potevano guadagnare reddito passivo.
L'asset uniBTC tokenizzato è un contratto ERC-20 sulla catena Ethereum. Il BTC avvolto è custodito in 3.552 indirizzi e ha una capitalizzazione di mercato totale di 75,4 milioni di dollari. Subito dopo l’exploit, alcune delle coppie decentralizzate hanno assistito ad azioni straordinarie.
Esistono versioni di uniBTC su un totale di otto reti e alcuni protocolli come Pendle hanno un'esposizione fino a 30 milioni di dollari sull'asset, legata al protocollo Corn. Un contratto vulnerabile simile per il conio di uniBTC stava creando minacce su Ethereum, Binance, Arbitrum, Optimism mainnet, Mantle, Mode, BOB e ZetaChain. I ricercatori di Dedaub hanno messo in guardia Pendle, che ha evitato che la maggior parte del valore bloccato venisse sfruttato come liquidità di uscita.
L'hacking di uniBTC ha causato un certo contagio sugli scambi decentralizzati. Uno dei pool Uniswap V3 ha visto il prezzo crollare a $ 17.889,15 , mentre un'altra coppia è stata scambiata con uno sconto minore a $ 62.311,48. La versione Ottimismo della coppia decentralizzata è crollata del 90% a meno di 18.000 dollari. L'asset ha addirittura raggiunto un nuovo minimo di 5.741,48 dollari. La pressione di vendita prevale, impedendo tentativi di arbitraggio, a causa della scarsa liquidità delle coppie.
L’effettivo crollo del tasso di swap potrebbe aver danneggiato maggiormente il protocollo, causando anche danni alla reputazione. Alcune ore dopo l'hacking, uniBTC non aveva recuperato la parità con WBTC, che costituisce la maggior parte delle coppie scambiate.
Come nel caso di altri exploit, anche i commenti falsi sui social media richiedevano l’utilizzo di un sito web di revoca. Gli utenti di Wallet devono affrontare ulteriori rischi derivanti da tali collegamenti dannosi, che potrebbero drenare le risorse rimanenti.
L'hacker ha sfruttato la chiamata di Bedrock al contratto uniBTC
L'exploit ha interessato l'uniBTC tokenizzato, che ha il supporto in BTC e WBTC effettivi. Ricercatori come Dedaub hanno affermato di aver notato la potenziale funzione per sfruttare Bedrock, ma l'hacking è avvenuto poche ore dopo l'avviso.
Dedaub ha notato che un attore malintenzionato potrebbe creare uniBTC infiniti e attaccare depositi e coppie decentralizzate. L’attacco ha potenzialmente colpito Pendle e Corn, oltre a Bedrock DeFi. Lo sfruttatore potrebbe depositare una piccola quantità di ETH e coniare uniBTC a un tasso di cambio diverso. L’asset appena coniato sarebbe completamente trasferibile e potrebbe essere rivenduto per più WBTC su Uniswap o altri protocolli decentralizzati.
Un altro ricercatore, Chaofan Shou, ha sottolineato che il contratto uniBTC era vulnerabile a una chiamata di funzione. La somma a rischio è stata drenata appunto poche ore prima dell'analisi.
Potresti utilizzare ItyFuzz per generare un exploit perfettamente funzionante che ruba fino a 1,7 milioni di dollari da @Bedrock_DeFi uniBTC.
E tutto ciò che serve è un core della CPU + 0,5 s. pic.twitter.com/SMMD1MSbvT
— Chaofan Shou (@shoucccc) 27 settembre 2024
Le chiamate ai contratti intelligenti rimangono uno dei maggiori rischi, soprattutto dopo aver aumentato il valore bloccato nei protocolli DeFi. L'attacco contro Bedrock DeFi è avvenuto mentre il valore totale bloccato del protocollo era vicino al massimo storico di 243 milioni di dollari .
Ciò che ha salvato il protocollo è stata la natura non custodiale dello staking, che ha consentito all’hacker di rubare l’asset confezionato e influenzare i pool di liquidità DEX, ma non le riserve sottostanti. Il BTC avvolto utilizza spesso portafogli freddi e non è facilmente riconvertibile nell'asset originale.
Bedrock utilizza Babylon Labs e Eigen Layer per ottenere la sua struttura di ricompensa. Questi protocolli sbloccano in modo sicuro il valore di BTC ed ETH, senza esporre direttamente gli asset al rischio. L'uniBTC creato potrebbe essere utilizzato anche su Pendle e Velodrome per ottenere rendimenti passivi.
La maggior parte degli attacchi delle ultime settimane sono stati contro la DeFi basata su Ethereum. L'attuale attacco ha colpito un asset derivato dal Bitcoin, sebbene utilizzi ancora la blockchain di Ethereum per la maggior parte dei trasferimenti di valore.
Reportage criptopolita di Hristina Vasileva