Compass Investments

– Uma vulnerabilidade no contrato inteligente da Pike Finance resultou em perdas de 1,6 milhões de dólares.

A exploração surge após um incidente relacionado com o USDC que ocorreu a 26 de abril.

A equipa da Pike está a oferecer uma recompensa e planeia compensar os utilizadores afectados.

Na manhã de quarta-feira, a empresa de segurança de blockchain Cyvers identificou várias transações incomuns no protocolo de empréstimo entre cadeias da Pike Finance; Cyvers também relatou que as transações suspeitas resultaram em uma perda financeira significativa de aproximadamente US $ 1,6 milhão.

A atividade fraudulenta ocorreu principalmente nos blockchains Ethereum (ETH), Arbitrum (ARB) e Optimism (OP). Nos ataques cibernéticos, os invasores usaram a ferramenta Railgun focada na privacidade no Arbitrum.

A plataforma de monitoramento de cadeias CertiK rastreou rapidamente a origem do ataque em 30 de abril. Descobriu que o atacante usou o método de chamada de função de inicialização para manipular o sistema de contrato inteligente da Pike Finance e inserir código malicioso.

O atacante foi capaz de inicializar o contrato da Pike Finance, durante o qual a variável _isActive foi definida para o endereço do atacante. O atacante foi então capaz de usar esse privilégio para chamar a função upgradeToAndCall do contrato e alterar sua implementação para uma que ele criou, disse um porta-voz da CertiK à BeInCrypto.

Após o aviso, a Pike Finance finalmente divulgou uma declaração em sua conta oficial do X detalhando a exploração e suas implicações. A declaração disse que o incidente resultou em perdas de 99.970,48 ARB, 64.126 OP e 479,39 ETH.

De acordo com uma descrição detalhada fornecida pela Pike Finance, os atacantes atualizaram os contratos de alto-falante de uma estrutura previamente comprometida. Em seguida, utilizaram um mapeamento de armazenamento incorreto no contrato inteligente.

Como resultado, o atacante foi capaz de contornar o acesso do administrador, atualizar o contrato do orador e levantar fundos”, escreveu a equipa da Pike Finance.

A Pike Finance também disse que pretende investigar o hack ainda mais. A empresa disse ainda que está a oferecer uma recompensa de 20% por qualquer informação que ajude a recuperar os fundos roubados. A empresa irá também discutir e anunciar planos para compensar os utilizadores afectados.

A exploração está relacionada com uma vulnerabilidade no sistema de levantamento de USD Coin (USDC) descoberta a 26 de abril. A Pike Finance reconheceu que a vulnerabilidade “está relacionada com uma falha nas medidas de segurança da funcionalidade que gere as transferências de USDC através do protocolo CCTP”. A falha crítica foi encontrada numa função concebida para queimar USDCs na cadeia de origem e extraí-los na cadeia de destino, que foi automatizada pelo serviço Gelato.

Uma segurança insuficiente nesta função permitia a um atacante manipular os endereços dos destinatários e os montantes que o protocolo Pike considerava válidos”, declarou a Pike Finance num comunicado.