StakeDAO-contract op Arbitrum getroffen door 5.4T vsdCRV-exploit

Een beveiligingsincident heeft StakeDAO's infrastructuur op Arbitrum getroffen, waarbij onderzoekers abnormale activiteit hebben geïdentificeerd die verband houdt met het vsdCRV-contract.

De exploit wordt in verband gebracht met een vermoedelijke "infinite minting"-kwetsbaarheid die mogelijk het ontstaan van een extreem grote voorraad synthetische staking-tokens heeft toegestaan, naar verluidt ongeveer 5.4 biljoen vsdCRV-eenheden.

Vroege tracking suggereert ook dat ruwweg $91,000 aan fondsen tijdens het incident is weggevloeid.

De activiteit werd aanvankelijk gedetecteerd via afwijkend on-chain gedrag met betrekking tot staking-derivaten die verbonden zijn met Curve-gebaseerde liquiditeitsposities.

De onregelmatige tokenbewegingen kwamen niet overeen met de verwachte patronen van beloningsdistributie, wat aanleiding gaf tot een nadere beoordeling van de contractarchitectuur.

Exploit richt zich op vsdCRV-uitgifte en kluislogica

Het getroffen systeem is het vsdCRV-mechanisme van StakeDAO, een liquid-staking-derivaat gekoppeld aan Curve Finance-posities.

In deze opzet storten gebruikers CRV of CRV-gekoppelde activa en ontvangen zij vsdCRV-tokens die hun aandeel in staking-vermogen en beloningen vertegenwoordigen.

Volgens on-chainanalyse lijkt de kwetsbaarheid te ontstaan uit het tokenuitgifte- en boekhoudingskader dat door het contract op Arbitrum wordt gebruikt.

Onderzoekers denken dat de fout een "infinite mint"-scenario kan hebben gecreëerd waarin het protocol tokenuitgifte niet adequaat heeft beperkt.

Dit type kwetsbaarheid kan ontstaan wanneer voorraadberekeningen afhangen van manipuleerbare variabelen zoals sharesaldo's of beloningsindexen.

In dit geval wordt aangenomen dat de aanvaller de zwakke plek heeft benut om de vsdCRV-voorraad dramatisch op te blazen, met schattingen die wijzen op een minting-evenement van ongeveer 5.4 biljoen tokens.

Zodra het opgeblazen saldo was gecreëerd, kan het zijn gebruikt om waarde uit het kluissysteem te halen of het beloningsdistributieproces van het protocol te vervormen.

Het incident lijkt niet te wijten aan een compromittering van private keys of een aanval op walletniveau.

In plaats daarvan wijst voorlopige analyse op een falen in de interne boekhouding van het smart contract, waarbij het systeem minting-condities mogelijk onjuist heeft gevalideerd onder specifieke transactiestaten.

Fondsen weggevloeid terwijl exploit nog wordt gemonitord

Naast het tokeninflatie-evenement geeft blockchainactiviteit aan dat ongeveer $91,000 aan activa tijdens het exploit-venster uit getroffen posities is verplaatst.

De uitstromen suggereren dat de aanvaller erin slaagde het gemanipuleerde vsdCRV-saldo om te zetten in overdraagbare waarde voordat de anomalie werd ingeperkt.

De exploit werd geïdentificeerd terwijl de activiteit nog aan de gang was, waarbij onderzoekers de contractinteracties in realtime blijven monitoren.

Het incident wordt nog onderzocht terwijl analisten werken om de volledige omvang van de blootstelling vast te stellen.

De activiteit concentreerde zich op Arbitrum, waar de implementatie van StakeDAO interactie heeft met Curve-gerelateerde liquiditeitsinfrastructuur.

De combinatie van staking-derivaten en geautomatiseerde beloningssystemen bemoeilijkt pogingen om de volledige impact onmiddellijk te isoleren, vooral nu transacties blijven doorstromen via DeFi-liquiditypools.

Voorlopige bevindingen wijzen op boekhoudkundig falen

Voorlopige bevindingen suggereren dat het kernprobleem ligt in hoe het contract de uitgifterechten voor vsdCRV berekent.

In systemen als deze is minting doorgaans gekoppeld aan een verhouding tussen gestorte activa en uitgegeven shares.

Als die verhouding kan worden gemanipuleerd door randgevallen of misgeconfigureerde statusupdates, kan dat een opening creëren voor een onevenredige tokenuitgifte.

Zodra de aanvaller de fout activeerde, lijkt het contract een ongeldige statusovergang te hebben geaccepteerd die buitensporige tokencreatie mogelijk maakte.

Het opgeblazen saldo verstoorde vervolgens het interne boekhoudkundige kader dat door het kluissysteem werd gebruikt.

Dit type exploit wordt vaak geassocieerd met DeFi-protocollen die sterk leunen op op-shares-gebaseerde boekhoudmodellen zonder strikte afdwinging van invarianten.

Wanneer die waarborgen falen, kan het systeem kunstmatig gecreëerde tokens ten onrechte behandelen als legitiem stakingvermogen.