Stake DAO, платформа DeFi, орієнтована на автоматизовані стратегії прибутковості, зіткнулася з триваючим експлойтом, повідомили кілька фірм з безпеки блокчейнів у середу.

Зловмисник створив понад 5,4 трильйона vsdCRV на Arbitrum і активно обмінює їх на ETH, зазначив Blockaid на X. PeckShield повідомив, що наразі частина токенів була обміняна на 43,78 ETH ($91 000) і переведена в Ethereum.

vsdCRV, або sdCRV з підвищеним голосуванням, є похідним токеном, пов'язаним з прибутковістю, що належить до екосистеми Curve Finance і використовується в Stake DAO.

Stake DAO заявила, що обізнана про ситуацію та закликала користувачів не взаємодіяти з vsdCRV.

Ймовірною першопричиною є скомпрометований приватний ключ розгортача (deployer) Stake DAO, повідомили дослідники. 

"Зловмисник, схоже, отримав приватний ключ розгортача та встановив довільний пір для vsdCRV", — пояснила BlockSec. "Використовуючи цей пір, вони сфальсифікували шкідливе повідомлення, яке спричинило безумовне створення ~5,44 трильйона vsdCRV на їхню адресу."

Цей експлойт продовжує один з найгірших періодів для експлойтів DeFi, що, схоже, зумовлено досягненнями в галузі штучного інтелекту: з квітня були зламані десятки протоколів на понад 600 мільйонів доларів, на чолі з експлойтом Kelp DAO на 292 мільйони доларів. У вівторок Мануель Араос з фірми криптобезпеки OpenZeppelin заявив, що він вважає "весь DeFi" небезпечним, посилаючись на асиметрію між зловмисниками та захисниками.

Співзасновник і CPO Sodot Шалев Керен повідомив The Block, що експлойт Stake DAO структурно схожий на інцидент з Wasabi минулого місяця та кілька інших компрометацій ключів розгортача цього року.

"Ключ розгортача Stake DAO на Arbitrum був використаний для перенаправлення конфігурації міжланцюгового мосту vsdCRV на контрольований зловмисником контракт в Ethereum, і приблизно через двадцять п'ять секунд цей контракт надіслав повідомлення LayerZero назад, що призвело до створення понад п'яти трильйонів vsdCRV для зловмисника легітимним токеном Arbitrum, який тепер продає їх за ETH", — сказав Керен. "Тут немає помилки в смарт-контракті, і немає недоліків у LayerZero, є один приватний ключ, що контролює одну привілейовану функцію конфігурації, без мультипідпису та без затримки між зміною конфігурації та завершенням створення токенів в мережі."

Керен додав, що інцидент підкреслює ширші занепокоєння щодо операційної безпеки та концентрації привілейованих дозволів розгортача, пов'язаних з перевіреними протоколами DeFi.

Це історія, що розвивається.