A plataforma XCarnival confirmou ter sido vítima de um roubo de US$ 3,8 milhões, 3.087 ETH, de acordo com um relatório da empresa de segurança on-chain Peck Shield.
Um hacker se aproveitou de uma vulnerabilidade no smart contract do protocolo e emprestou ETH, criando “várias ordens para penhorar BAYC (NFTs Bored Ape Yacht Club) muitas vezes.”
A XCarnival opera como um pool de empréstimos de NFTs, permitindo que os titulares dos tokens depositem seus ativos em troca de liquidez.
O hacker comprou o item 5110 da coleção Bored Ape Yacht Club na OpenSea, mais tarde, ele depositou o ativo no XCarnival, e conduziu um ataque para “usar o mesmo NFT para tomar um empréstimo.”
Em outras palavras, ele foi capaz de penhorar o NFT, emprestar o ETH e depois remover o NFT sem pagar o empréstimo de volta, completando este processo várias vezes até que a pool estivesse esgotada.
A plataforma de segurança digital Go+ Security explicou que o hacker criou um contrato com diversos perfis para conduzir o ataque, criando muitos orderIDs, que mais tarde puderam ser usados como credenciais de empréstimo sem que o contrato xNFT revogasse a credencial após a retirada.
A Go+ disse ainda que a vulnerabilidade do contrato inteligente se encontrava no colateral, que ainda era válido mesmo após o saque, “um bug muito simples e ingênuo na implementação do contrato.”
Em função do ataque bem sucedido, a plataforma de empréstimos decidiu oferecer um acordo ao hacker, com uma recompensa de 1.500 ETH, ou US $1.8 milhões, metade dos fundos roubados, para que ele devolvesse a outra metade sem sofrer consequências legais.
A equipe confirmou que o hacker concordou com os termos e recebeu a metade dos fundos de volta. Mas a plataforma afirmou que “as agências de segurança determinaram a localização geográfica do hacker,” insinuando possíveis consequências legais.
A equipe da plataforma ainda não forneceu mais informações sobre sua decisão final.
Leia também:
