Deus DAO - R3KT

Esto es un triplete para Deus DAO.

Los holders de tokens perdieron un total de ~$6,5M en Arbitrum, BSC y Etherum, y la stablecoin DEI tuvo un depeg en más del 80%.

Este incidente, a poco más de un año desde su última aparición, convierte a Deus DAO en el tercer protocolo con tres entradas en nuestra leaderboard.

Las dos entradas anteriores de Deus fueron en la casa original del proyecto, FTM, donde no parecen haberse visto afectadas. Desde entonces, DEI se ha expandido a otras chains.

Después de que se dio la alarma y se identificó la causa raíz, Deus finalmente reconoció el ataque y confirmó una dirección multisig para que los whitehats devolvieran los fondos.

Pero, ¿cuántas veces se puede confiar en un protocolo que ha sido atacado tres veces?

Crédito: adamb, Zellic, 0xProtosec

Un simple error de implementación fue introducido en el contrato del token DEI, en una actualización el mes pasado. La función burnFrom estaba mal configurada, con los parámetros de 'allowances', 'msgSender' y 'account', escritos en el contrato en el orden equivocado.

Esto creó una vulnerabilidad de burn público (o púbico, según Peckshield), que luego un atacante puede manipular y obtener el control de las aprobaciones de los holders de DEI y transferir activos directamente a su propia dirección.

Los parámetros mal ordenados permiten al atacante establecer una gran aprobación de token para la dirección de cualquier holder de DEI. Luego, al hacer burn de 0 tokens desde la dirección, la aprobación se actualiza a la dirección del atacante, quien puede drenar los fondos del holder.

Vea el siguiente paso a paso:

identificar una dirección con una gran cantidad de DEI

aprobar a esta dirección

llame a burnFrom con cantidad = 0 y esta dirección

Durante el burnFrom se aprueban todos los tokens de la dirección a la suya

Llamar a transferFrom

Dirección del atacante (Arbitrum): 0x189cf534de3097c08b6beaf6eb2b9179dab122d1

Example attack tx (Arbitrum): 0xb1141785…

Dirección del Frontrunner (BSC): 0x5a647e376d3835b8f941c143af3eb3ddf286c474

Example attack tx (BSC): 0xde2c8718…

Dirección del atacante (Ethereum): 0x189cf534de3097c08b6beaf6eb2b9179dab122d1

Example attack tx (Ethereum): 0x6129dd42…

Según MetaSleuth de BlockSec, las pérdidas fueron de aproximadamente $5M en Arbitrum, $1.3M en BSC y $135k en Ethereum.

Afortunadamente, el exploit en BSC fue frontrun, y un mensaje on-chain al Deus Deployer muestra la intención de devolver los fondos. Otros whitehats también entraron en acción, y más de $600k en USDC hasta ahora se han devuelto a una multisig de recuperación.

Sin embargo, también hubo dudas sobre la utilidad de devolver fondos a un equipo que produjo un error tan trivial.

Devolver los fondos rescatados a un protocolo tres veces vulnerado parece bastante contraproducente…

Una actualización oficial menciona un plan de recuperación para los usuarios que perdieron en el exploit, y Deus se acercó al atacante on-chain.

Pero dado que la cuenta se financió originalmente a través de Tornado Cash en BSC, no se ve bien.

¿Será esto finalmente un golpe mortal para Deus DAO?

REKT sirve como plataforma pública para autores anónimos, nos deslindamos de la responsabilidad por las opiniones y contenidos alojados en REKT.

dona (ETH / ERC20): 0x3C5c2F4bCeC51a36494682f91Dbc6cA7c63B514C

aviso legal:

REKT no es responsable ni culpable de ninguna manera por cualquier Contenido publicado en nuestro Sitio Web o en conexión con nuestros Servicios, sin importar si fueron publicados o causados por Autores ANÓN de nuestro Sitio Web, o por REKT. Aunque determinamos reglas para la conducta y publicaciones de los Autores ANÓN, no controlamos y no somos responsables por cualquier contenido ofensivo, inapropiado, obsceno, ilegal o de cualquier forma objetable, que se pudiera encontrar en nuestro Sitio Web o Servicios. REKT no es responsable por la conducta, en línea o fuera de línea, de cualquier usuario de nuestro Sitio Web o Servicios.