AUDIUS - REKT

Audius, la respuesta web3 a Spotify, ha sido víctima de un ataque de gobernanza y ha perdido $6M en su token nativo, AUDIO.

El atacante pasó una propuesta maliciosa que transfirió los fondos directamente del treasury, antes de intercambiarlos en el mercado por solo ~ $1M.

AUDIO se utiliza para rewards de usuarios y de artistas, y para fines de gobernanza en el music-streaming service.

Poco después de que se diera la alarma, Audius anunció la "transferencia no autorizada", mientras pedía ayuda con la investigación: "Si desea ayudar a nuestro equipo de respuesta, comuníquese".

Pausa, rebobinar, play...

Créditos: Audius, Spreek

Según el post mortem oficial, el atacante pudo reinicializar los governance contracts, delegándose una gran cantidad de tokens de gobernanza y eludiendo las medidas de seguridad destinadas a limitar las propuestas maliciosas.

Luego, con su voting power ampliamente aumentado, pudo aprobar una propuesta para transferir 18M de tokens AUDIO fuera del treasury directamente a su propia dirección.

Audius utiliza AudiusAdminUpgradabilityProxy para realizar upgrades en los governance contracts. La dirección proxyAdmin se establece como la dirección del governance contract principal, en el storage slot 0.

Sin embargo, esto crea una colisión con el Initializable contract de OpenZeppelin, lo que genera un error que permite al atacante tomar el control del governance contracts y cambiar los parámetros en cualquiera de los contratos de Audius Governance, Staking y DelegateManagerV2.

Para obtener más detalles, consulte los documentos de OpenZeppelin sobre storage collisions.

El post mortem resume las acciones del atacante de la siguiente manera:

Con esto, el atacante pudo (1) redefinir la votación en el protocolo Audius y modificar la dirección del governance contract’s guardian (2) establecer la dirección de gobernanza de los contratos Staking y DelegateManagerV2 en la de un deployment personalizada de la gobernanza de Audius contrato (0xbdbb5945f252bc3466a319cdcc3ee8056bf2e569) y abusar del protocolo Audius al

Marcar una delegación errónea de 10,000,000,000,000 $AUDIO para sí mismo en un intento de aprobar una votación en la gobernanza. (Sin impacto en el supply circulante/limitado en el storage de Staking & Delegation contracts)

Marcar una segunda delegación errónea de 10,000,000,000,000 $AUDIO a sí mismo en un intento de aprobar una votación en la gobernanza, que pasó y transfirió los fondos. (Sin impacto en el supply circulante/limitado en el storage de Staking & Delegation contracts)

Transferencia de 18,564,497 tokens $AUDIO del community treasury: https://etherscan.io/tx/0x4227bca8ed4b8915c7eec0e14ad3748a88c4371d4176e716e8007249b9980dc9

Dirección del atacante: 0xa0c7BD318D69424603CBf91e9969870F21B8ab4c

Luego, el atacante vendió AUDIO en una sola transacción a través de Uniswap v2, lo que provocó un gran slippage y se llevó solo 704 ETH (~1M).

Luego de 10 hs, los fondos se transfirieron a Tornado Cash.

A pesar de la acción extrema del precio cuando el atacante dumpeo el token, el precio de AUDIO se ha mantenido bien desde el incidente.

Un tiempo de respuesta rápido del equipo (más ayuda), y la pérdida proveniente de la tesorería, en lugar de los bolsillos de los usuarios, probablemente minimizó las consecuencias.

Los contratos habían sido auditados dos veces, por Kudelski y OpenZeppelin, y la vulnerabilidad es un problema conocido .

Sin embargo, esto no parece haber eliminado a Audius de la lista de reproducción de DeFi para siempre.

Esperemos que su debut sea un disco de un solo hit.

REKT sirve como plataforma pública para autores anónimos, nos deslindamos de la responsabilidad por las opiniones y contenidos alojados en REKT.

dona (ETH / ERC20): 0x3C5c2F4bCeC51a36494682f91Dbc6cA7c63B514C

aviso legal:

REKT no es responsable ni culpable de ninguna manera por cualquier Contenido publicado en nuestro Sitio Web o en conexión con nuestros Servicios, sin importar si fueron publicados o causados por Autores ANÓN de nuestro Sitio Web, o por REKT. Aunque determinamos reglas para la conducta y publicaciones de los Autores ANÓN, no controlamos y no somos responsables por cualquier contenido ofensivo, inapropiado, obsceno, ilegal o de cualquier forma objetable, que se pudiera encontrar en nuestro Sitio Web o Servicios. REKT no es responsable por la conducta, en línea o fuera de línea, de cualquier usuario de nuestro Sitio Web o Servicios.