Warp Finance - REKT

Cada hombre que te cruzas en la calle no es un sólo hombre sino dos...

Todos los seres humanos, como los conocemos, son una mezcla del bien y el mal; dos rostros y dos personas que comparten un conjunto de objetivos escondidos.

Como Jekyll fue a Hyde, también el white hat es al black. Los desarrolladores en quienes confiamos bajo la luz del día podrían ser diferentes durante las noches.

Una poción de conocimiento con resultados irresistibles - ¿quién entre nosotros podría resistir tales premios cuando no hay castigo?

Ya que hay tan pocos desarrolladores con estas capacidades particulares, nos enfrentamos a la probabilidad de que borren con el codo lo que escriben con la mano.

Warp Finance ha sido la última víctima de una epidemia de hacks cada vez menos interesantes.

Una cuenta, que había sido financiada con un solo ETH vía Tornado cash, ejecutó un contrato que hizo un flash swap de $180m y tomó un flash loan de $51m de dYdX.

Usando esta técnica, el agresor fue capaz de remover $7.8m de DAI, ayudado por el hecho de que Warp.finance dependía de los precios vulnerables de tokens LP en Uniswap. Esto le permitió tomar un préstamo más grande que su colateral, y resultó en la pérdida de fondos de los prestamistas de stablecoins.

Las wallets involucradas están enumeradas abajo:

Agresor SC 0xdf8bee861227ffc5eea819c332a1c170ae3dbacb

Warp Oracle 0x4A224CD0517f08B26608a2f73bF390b01a6618c8

Warp Control 0xBa539B9a5C2d412Cb10e5770435f362094f9541c

Bóveda LP wBTC-wETH 0x3c37f97F7d8f705cc230f97a0668f77a0e05D0aA

Bóveda LP WETH-DAI 0x13db1CB418573f4c3A2ea36486F0E421bC0D2427 (Bóveda afectada)

Bóveda LP USDT-WETH 0xCDb97F4C32F065b8e93cF16BB1E5d198bcF8cA0d

Bóveda LP USDC-WETH 0xb64dfae5122D70Fa932f563c53921FE33967B3E0

Bóveda DAI 0x6046c3Ab74e6cE761d218B9117d5c63200f4b406

Bóveda USDT 0xDadd9bA311192d360Df13395E137f1E673C91deB

Bóveda USDC 0xae465FD39B519602eE28F062037F7B9c41FDc8cF

rekt OPSEC nos aportó el siguiente resumen:

• Warp.finance fue explotado y ~$7.8 millones de DAI/USDC fueron removidos de su bóveda (WarpVaultSC).
• El ataque se inició a las 10:24:41 PM +UTC, Dic. 17, 2020 (Transacción),
• La causa raíz del incidente fue el uso del oracle AMM (Uniswap), que permitió al agresor manipular el precio del token LP UniswapV2 pair (WETH-DAI).
• Esta manipulación de precios en Uniswap causada por el flash loan llevó al agresor a tomar en préstamo de Warp.finance más USDC y DAI de lo que debía (aproximadamente lo doble).
• Un punto interesante para notar es que el agresor no gana inmediatamente de estas acciones.
• Los tokens LP depositados por el agresor se guardan como colateral y se quedan encerrados en Warp.finance debido a su underwater posición de préstamo.

Guía de las Transacciones:

• Toma cuatro flash loans distintos de 2.9M DAI + 344.8K WETH de dYdX y UniswapV2; WETH-WBTC 90k WETH WETH-USDC 82k WETH WETH-USDT 96k WETH dYdX 76k WETH dYdX 2.9m DAI.
• Deposita el flash loan de dYdX (of 2.9M DAI + 76K WETH) a UniswapV2 pair (WETH-DAI) y a cambio, acuña 94.349K tokens LP.

• Los tokens ya acuñados se transfieren a WarpVaultLP como colateral para el crédito del agresor; (el precio actual del token LP de UniswapV2 pair WETH-DAI es 58,815,427)
• Canjea 341K WETH por 47.6M DAI via UniswapV2 para que DAI se vuelva muy cara, que como resultado, sube el precio del token LP por al menos el doble, hasta 135,470,392;
• Con el precio alto del token LP y el valor computado más alto del colateral, el agresor puede tomar préstamos de 3.86M DAI y 3.9M USDC de Warp.finance (con valor de alrededor de $7.8 millones).

• Devuelve los flash loans de paso 1 a dYdX y UniswapV2.
• El agresor perdió la mayoría de las ganancias en los gastos de transacción.
• Aunque este incidente resulta en una pérdida de ~$7.8 millones, el agresor no se beneficia inmediatamente. Específicamente, el agresor ahora tiene una posición de préstamo underwater con Warp.finance, que todavía encierra los 94.349K tokens LP. Mientras tanto, estamos monitoreando activamente la wallet del agresor para cualquier movimiento.

"Dónde están los fondos de Warp ahora..." crédito a - @n2ckchong

Pero todo tiene su fin; la medida más capaz se llena al cabo y esa breve condescendencia al fin destruyó el equilibrio de mi espíritu.

¿Cuánto más hasta que los agresores hayan tomado suficiente?

Solo uno de estos robos provee suficiente dinero para que el recipiente nunca tenga que trabajar de nuevo, así que su continuación sugiere que estos actores buscan el poder, no la riqueza. O quizá el dinero le interesa poco a la mente técnica, quien juega con sus víctimas como un gato con un ratón.

Denota la inmadurez de la industria el que estos ataques atraigan tan poca atención. Fuera del mundo crypto, un robo de siete millones de dólares haría titulares internacionales, pero para los nativos de DeFi, este último exploit parece algo aburrido, una repetición básica de un vector de ataque ya conocido.

Como la mayoría de los fondos están encerrados, y pueden ser reclamados vía liquidación con un nuevo controlador de la bóveda, el agresor ha creado un botín de gran tamaño.

Tal vez, en el futuro, un agresor altruista usará este método para dar a los usuarios una oportunidad de reclamar sus fondos en lugar de simplemente robarlos. Los agresores podrían pedir rescate por su devolución; forzando al protocolo a pagar en lugar de arruinar su reputación aún más.

El Dr. Jekyll no creó una poción para remover las partes malvadas de su naturaleza. Hizo una poción que le dejó expresar sus deseos sin sentirse culpable y sin consecuencias para su reputación.

DeFi es un mundo de seudónimos y conspiración, en donde el anonimato da poder y los white hats se vuelven grises.

Cuando Warp.finance usó Twitter para agradecer a sus desarrolladores white hat, había una familiaridad conspicua con los nombres que mencionaron.

Todos compartimos la mesa con estas caras conocidas, pero ¿ellos toman nuestro batido cuando les damos la espalda?

REKT sirve como plataforma pública para autores anónimos, nos deslindamos de la responsabilidad por las opiniones y contenidos alojados en REKT.

dona (ETH / ERC20): 0x3C5c2F4bCeC51a36494682f91Dbc6cA7c63B514C

aviso legal:

REKT no es responsable ni culpable de ninguna manera por cualquier Contenido publicado en nuestro Sitio Web o en conexión con nuestros Servicios, sin importar si fueron publicados o causados por Autores ANÓN de nuestro Sitio Web, o por REKT. Aunque determinamos reglas para la conducta y publicaciones de los Autores ANÓN, no controlamos y no somos responsables por cualquier contenido ofensivo, inapropiado, obsceno, ilegal o de cualquier forma objetable, que se pudiera encontrar en nuestro Sitio Web o Servicios. REKT no es responsable por la conducta, en línea o fuera de línea, de cualquier usuario de nuestro Sitio Web o Servicios.