Exploit vsdCRV de 5.4T lovește contractul StakeDAO pe Arbitrum

Un incident de securitate a afectat infrastructura StakeDAO pe Arbitrum, cercetătorii identificând activitate anormală legată de contractul său vsdCRV.

Exploitul este legat de o vulnerabilitate suspectată de tip „emitere infinită” care ar fi putut permite crearea unei oferte extrem de mari de tokenuri sintetice de staking, raportat la aproximativ 5.4 trilioane de unități vsdCRV.

Monitorizarea timpurie indică, de asemenea, că aproximativ $91,000 în active au fost retrase în timpul incidentului.

Activitatea a fost detectată inițial printr-un comportament on-chain neobișnuit implicând derivate de staking conectate la poziții de lichiditate bazate pe Curve.

Mișcările neregulate ale tokenurilor nu corespundeau modelelor așteptate de distribuire a recompenselor, ceea ce a determinat o analiză mai atentă a arhitecturii contractului.

Exploitul se concentrează pe emiterea vsdCRV și logica vault-urilor

Sistemul afectat este mecanismul vsdCRV al StakeDAO, un derivat de staking lichid legat de pozițiile din Curve Finance.

În această configurație, utilizatorii depun CRV sau active legate de CRV și primesc tokenuri vsdCRV care le reprezintă cota din puterea de staking și din recompense.

Potrivit analizei on-chain, vulnerabilitatea pare să provină din cadrul de emitere a tokenurilor și din mecanismul de contabilitate utilizat de contractul implementat pe Arbitrum.

Cercetătorii consideră că defectul ar fi putut crea un scenariu de „emitere infinită” în care protocolul nu a reușit să restricționeze corespunzător emisia de tokenuri.

Acest tip de vulnerabilitate poate apărea atunci când calculele de ofertă depind de variabile manipulabile, precum balanțele de share-uri sau indicii de recompensă.

În acest caz, se crede că atacatorul a exploatat slăbiciunea pentru a umfla dramatic oferta de vsdCRV, estimările indicând un eveniment de emitere implicând aproximativ 5.4 trilioane de tokenuri.

Odată creat soldul umflat, acesta ar fi putut fi folosit pentru a extrage valoare din sistemul de vault-uri sau pentru a distorsiona procesul de distribuire a recompenselor protocolului.

Incidentul nu pare a fi legat de compromiterea unei chei private sau de un atac la nivel de portofel.

În schimb, analiza preliminară arată o eroare în contabilitatea internă a smart contractului, unde sistemul ar fi putut valida incorect condițiile de emitere în anumite stări tranzacționale.

Fonduri retrase în timp ce exploit-ul este încă monitorizat

Pe lângă evenimentul de inflație a tokenurilor, activitatea pe blockchain indică că aproximativ $91,000 în active au fost scoase din pozițiile afectate în fereastra exploit-ului.

Ieșirile de fonduri sugerează că atacatorul a reușit să convertească soldul manipulat de vsdCRV în valoare transferabilă înainte ca anomalia să fie conținută.

Exploit-ul a fost identificat în timp ce activitatea era încă în desfășurare, cercetătorii continuând să monitorizeze interacțiunile cu contractul în timp real.

Incidentul rămâne în curs de investigare în timp ce analiștii lucrează pentru a determina amploarea completă a expunerii.

Activitatea a fost concentrată pe Arbitrum, unde implementarea StakeDAO interacționează cu infrastructura de lichiditate legată de Curve.

Combinația dintre derivatele de staking și sistemele automate de recompense a complicat eforturile de a izola imediat impactul complet, în special în timp ce tranzacțiile continuă să se propage prin pool-urile de lichiditate DeFi.

Constatări preliminare indică o eroare de contabilitate

Constatăririle preliminare sugerează că problema de bază constă în modul în care contractul calculează drepturile de emitere pentru vsdCRV.

În sisteme ca acesta, emiterea este, de obicei, legată de un raport între activele depuse și share-urile emise.

Dacă acel raport poate fi manipulat prin interacțiuni în cazuri marginale sau actualizări de stare configurate incorect, acesta poate crea o oportunitate pentru emiterea disproporționată a tokenurilor.

Odată ce atacatorul a declanșat defectul, contractul pare să fi acceptat o tranziție de stare invalidă care a permis crearea excesivă de tokenuri.

Soldul umflat a perturbat apoi cadrul de contabilitate intern utilizat de sistemul de vault-uri.

Acest tip de exploit este în mod obișnuit asociat cu protocoale DeFi care se bazează puternic pe modele de contabilitate bazate pe share-uri fără o impunere strictă a invariantelor.

Când aceste măsuri de siguranță eșuează, sistemul poate trata în mod eronat tokenurile create artificial ca putere legitimă de staking.