Todo comenzó anoche, alrededor de las 8 p. m. (GMT), en Convex Finance.
El hack que se produjo en perjuicio de la plataforma DeFi Convex Finance
El informe provino de Twitter, de un miembro del equipo central de PieDAO, un conocido proyecto DeFi que se ocupa de fondos tokenizados.
Durante una transacción, el usuario notó que el Convexo El sitio web lo estaba llevando a usar un contrato no verificado, que luego resultó ser malicioso.
Esto desencadenó inmediatamente el tweet de informes para alertar al equipo de protocolo en cuestión y tratar de arrojar luz sobre el problema.
What is this unverified contract ? 0xF403a2c10B0B9feF8f0d4F931df5d86aD187AE31@ConvexFinanzas el sitio web solicita aprobación para eso, pero el correcto es 0xF403C135812408BFbE8713b5A23a04b3D48AAE31
4 Los caracteres iniciales/finales son los mismos.
¿Suplantación de DNS?— alexintosh.eth | Estoy contratando (@Alexintosh) Sábado, Junio 23, 2022
El contrato era particularmente sospechoso porque no estaba verificado, se había creado recientemente y las cuatro letras iniciales y finales eran las mismas.
Este es un recordatorio de que para no correr riesgos, es absolutamente necesario verificar la dirección completa, cada letra, no solo el principio y el final.
Vale la pena recordar la importancia de este paso, antes de aprobar una transacción, ya que los ataques más peligrosos son precisamente aquellos que utilizan direcciones de vanidad, es decir, direcciones que se parecen mucho a las reales pero que en realidad son estafas por derecho propio.
¡Este es un ataque que explota la falta de precaución de las personas!
La respuesta del equipo de Convex junto con importantes auditores de la escena cripto
El informe atrajo de inmediato la atención de varios investigadores de seguridad destacados, incluido el conocido SamCzsun.
El equipo y los auditores de Convex comenzaron a investigar el origen y el alcance del problema.
Convex rápidamente tranquilizó a la comunidad al explicar que los contratos del protocolo oficial no estaban en peligro, pero que el problema afectaba solo a aquellas direcciones que habían aprobado ese contrato por error. Afortunadamente, las direcciones resultaron ser solo cinco.
– El problema se solucionó en este momento, pero la investigación está en curso. Post-mortem completo a seguir.
En este momento, 5 direcciones parecen haber aprobado contratos maliciosos (en el tweet a continuación). Si usted es el propietario de una de estas direcciones, comuníquese a través de Twitter DM o Discord.
- Finanzas convexas (@ConvexFinance) Sábado, Junio 23, 2022
El primer informe desencadenó una serie de comprobaciones que condujeron al rastreo de al menos 10 contratos maliciosos más como ese.
En el momento de escribir este artículo, la cuenta de lo que el hacker logró robar es de unos 220 ETH.
Ribbon Finance parece haber sufrido el mismo ataque.
El análisis aún está en curso. Desafortunadamente, parece que el hacker no solo apuntó a la plataforma convexa, sino también las finanzas de la cinta.
Sencillos pasos para minimizar la posibilidad de ser hackeado
- Utilizar cartera de hardware e idealmente tener una PC solo para administrar sus posiciones criptográficas;
- Trate de interactuar solo con protocolos que hayan demostrado ser confiables a lo largo del tiempo;
- Use todas las herramientas intencionalmente, primero entendiendo y aprendiendo cómo funcionan;
- Tener una formación técnica, evitando explotar los productos DeFi en piloto automático, es quizás una de las armas más poderosas que todos tenemos a nuestra disposición.
DeFi ofrece oportunidades increíbles, pero por su naturaleza requiere que sus usuarios sean conscientes de lo que están haciendo en este mundo. Debemos recordar que todos son responsables de su propio dinero: "Sea inteligente, sepa lo que está haciendo".
Aprobar un contrato es una de las cosas más peligrosas por lo que es necesario que el usuario realice las comprobaciones correspondientes antes de finalizar la transacción.
Es aconsejable, de hecho imprescindible, comprobar la documentación oficial del protocolo que está utilizando.
Si un contrato no se verifica y solo se creó hace unos días, generalmente es una mala señal, una gran bandera roja.
Alexintosh, el usuario que inició esta cascada de informes, concluye la entrevista diciendo:
“Uno tiene que entender que DeFi es un mundo PvP (Jugador contra Jugador) y, por lo tanto, es necesario estudiar la mejor manera de protegerse de otros usuarios, de posibles piratas informáticos en el sistema”.
Fuente: https://en.cryptonomist.ch/2022/06/24/convex-more-info-on-the-hack/