Certik ve $ 12 millones recuperados de Crypto Exploit a pesar de la auditoría

El proyecto Green Stablecoin Defrost Finance devolverá USD 12 millones en fondos robados hasta el 23 de diciembre de 2022, a pesar de someterse a una auditoría de código por parte de CertiK.

Descongelar utilizará datos en cadena para garantizar la asignación adecuada de los fondos robados. La recuperación se produce después de que un atacante explota fallas en múltiples contratos inteligentes de Defrost. La empresa de seguridad blockchain Peckshield inicialmente reportado el atentado del 23 de diciembre de 2022.

Clientes de descongelamiento pierden $12 millones

Según los informes, el pirata informático drenó $ 173,000 a través de un ataque de préstamo flash nivelado en el protocolo V1 de Defrost. En un ataque V2 más significativo, un perpetrador robó USD 12 millones al liquidar las posiciones de los usuarios a través de un token colateral falso y un oráculo de precios malicioso. Atacantes más tarde supuestamente robado $ 1.4 millones del agregador de tecnología de cadena cruzada Rubic Finance, lo que genera preocupaciones sobre las vulnerabilidades en el código de contrato inteligente.

Las liquidaciones ocurren en DeFi cuando el valor de la garantía de un usuario cae por debajo de la relación mínima préstamo-valor de un protocolo de préstamo. Los protocolos de Stablecoin como Defrost permiten a los usuarios depositar garantías para un préstamo perpetuo de Stablecoins. El protocolo utiliza una tarifa de estabilidad ajustada algorítmicamente para establecer el interés del préstamo. La introducción de garantías falsas en V2 probablemente comprometió la relación préstamo-valor de los usuarios de Defrost, lo que llevó a su liquidación.

Las auditorías de CertiK revelan problemas de centralización

Ambos hacks llamaron la atención sobre las conclusiones que se pueden extraer de las auditorías de códigos de contratos inteligentes al evaluar la legitimidad de un proyecto DeFi. La firma de seguridad blockchain CertiK estuvo involucrada en ambos ataques, y Defrost y Rubic fueron sometidos a controles de código por parte de la empresa.

CertiK verificado Contratos inteligentes Thaws V1 en noviembre de 2021, enumerando un problema de lógica crítica y cinco problemas relacionados con la centralización. El primero se había corregido al momento de la publicación, mientras que el segundo se reconoció sin evidencia de trabajo adicional. Una falla lógica, coloquialmente conocida como «error», permite que los contratos inteligentes funcionen incorrectamente sin bloquearse. Por otro lado, un problema de centralización puede hacer que varias entidades se vean comprometidas si un atacante obtiene acceso a un bloque o variable de código compartido.

CertiK también desenterrado varios problemas de centralización en el contrato inteligente SwapContract de Rubic Finance, uno de los cuales permitiría a un pirata informático retirar ETH/BNB y otros tokens a la dirección del pirata informático.

Las auditorías no sustituyen al sentido común

En lugar de aprobar un proyecto o sus activos, CertiK prueba la resistencia de los contratos inteligentes a varios vectores de ataque. También evalúa el cumplimiento de los contratos con estándares de codificación aceptables y compara los contratos inteligentes de un proyecto con los producidos por líderes de la industria.

Una mirada cercana al sitio web de CertiK revela que la compañía solo verifica el código proporcionado por el protocolo DeFi. Aconseja a los inversores interesados ​​que realicen su propia diligencia debida. Además, sus informes contienen el siguiente descargo de responsabilidad:

“La posición de CertiK es que cada empresa e individuo es responsable de su propia diligencia debida y seguridad continua. El objetivo de CertiK es ayudar a reducir los vectores de ataque y el alto nivel de variación asociado con el uso de tecnologías nuevas y en evolución, y no hacemos representaciones ni garantías en cuanto a la seguridad o funcionalidad de la tecnología que aceptamos analizar».

Si bien no brindan una imagen completa, estos informes pueden proporcionar información sobre los riesgos de un proyecto, lo que ayuda a informar a las partes interesadas sobre un proyecto. Cualquier cambio propuesto al código de contrato inteligente puede enviarse al proceso de votación estándar de un protocolo sin intervención del gobierno.

Brian Armstrong, CEO de Coinbase partidarios que los protocolos DeFi están protegidos por la libertad de expresión en los EE. UU. en lugar de regirse por las leyes que rigen las empresas de servicios financieros.

Ser[In]El último análisis de Bitcoin (BTC) de Crypto, haga clic aquí.