Grim Finance, um protocolo de Finanças Descentralizadas (ou DeFi, na sigla em inglês), foi hackeado e perdeu US$ 30 milhões em tokens no último sábado (18), confirmou a equipe, devido a um “ataque avançado”.
De acordo com um tuíte, “a invasão foi encontrada no contrato do vault, então todos os vaults e fundos depositados estão em risco neste momento”.
Grim se considera um “otimizador de rendimentos acumulados”, ou seja, promete gerar valor extra dos tokens de fornecedores de liquidez que usuários recebem de corretoras descentralizadas (ou DEXs) se bloquearem os ativos em um vault da Grim.
Grim afirma, na documentação de seu protocolo, “ajudar usuários a coletar mais recompensas, sem complicações”.
O protocolo foi desenvolvido no blockchain Fantom Opera, uma plataforma de contratos autônomos criada usando a linguagem de programação Solidity e compatível com a Ethereum.
O hacker utilizou um ataque de reentrância; é uma invasão que permite que alguém acrescente depósitos adicionais em um vault enquanto uma transação inicial ainda está sendo processada, enganando, assim, o protocolo.
“Contatamos e notificamos Circle (USDC), DAI e AnySwap em relação ao endereço do invasor para possivelmente congelar quaisquer outras transferências de fundos”, tuitou Grim, mas o invasor já estava ocupado lavando os fundos roubados por meio de transferências em stablecoins.
Rugdoc.io, um grupo de supervisão DeFi de auditores de contratos autônomos e investidores, afirmou que Grim Finance deveria ter pensado melhor e usado uma proteção de reentrância.
“Felizmente, todos os projetos podem aprender lições com esse incidente que existe muito conhecimento que desenvolvedores especialistas em Solidity têm em mãos”, tuitou.
“Se você ainda não adquiriu isso [conhecimento], não desenvolva projetos multimilionários. Não realize auditorias de empresas que todos sabem que são inúteis.”
Grim compartilhou uma auditoria de seu token e contratos autônomos do Solidity Finance. De acordo com o relatório do Solidity Finance, “A proteção de reentrância é usada em locais relevantes para evitar ataques de reentrância.”
No domingo à tarde (19), todos os depósitos nos vaults do Grim Finance permaneciam pausados para evitar ainda mais roubos.
*Traduzido e editado por Daniela Pereira do Nascimento com autorização do Decrypt.co.