Value DeFi - REKT 2

2 x 1, eso es Value DeFi: El primer protocolo en aparecer por duplicado en el rekt leaderboard.

Cuando cubrimos Value por primera vez en noviembre de 2020, habían recién perdido $7,000,000 después de alardear de sus “protecciones ante los flash loans”.

En aquel tiempo, nos enteramos que Value DeFi, realmente no sabían flash loan. Ahora han perdido otros $10,000,000 y descubrimos que Value DeFi realmente tampoco saben cortar/pegar, dado que han reportado que el exploit fue posible gracias a una línea de código perdida por “error humano”.

Diez millones de dólares perdidos por errores básicos del equipo, y aún así el token nativo $VALUE casi no cayó en precio.

El siguiente análisis es tomado del post-mortem oficial.

El 5 de mayo de 2012, 3:22 AM UTC, el exploiter re-inicializó la pool y se estableció a sí mismo como dueño y el _stakeToken a HACKEDMONEY.

Al hacerlo, el exploiter tomó control de la pool y llamó al método governanceRecoverUnsupported() y sacó el stake token original (vBWAP/BUSD LP).

El exploiter retiró 10,839.16 vBWAP/BUSD LP, y luego quemó los tokens LP y recibió 7342.75 vBSWAP y 205,659.22 BUSD.

El exploiter después vendió todos los 7342.75 vBSWAP por 8790.77 BNB tras 1inch.

El exploiter utilizó ambos BNB y BUSD para comprar renBTC y utilizó renBridge para mover los fondos de vuelta a BTC, los envió a la siguiente dirección: 1Cm6WGvXQ9EgvvWX5dRsBxE2NvxFjfbcVF

Las acciones pueden ser verificadas on-chain aquí.

El pool contract afectado tuvo una función initialize() que debe de haber sido activada después del despliegue.

La línea initialized = true está ausente de la función.

Esto significa que cualquiera podría re-inicializar la pool y establecerse como dueño, lo que implicaría tomar control absoluto. Como dueño, el exploiter usó governanceRecoverUnsupported(), que se utiliza para recuperar fondos de la pool en el caso de un bug o un evento indeseado.

Durante la instalación de la pool de reparto de ganancias vStake, el código no fue escrito desde cero sino migrado desde la implementación antigua del Fondo de Reserva de Value DeFi, que tenía la configuración correcta. Al fusionar el código, la línea no fue incluida.

A final de cuentas, el hacker fue el único que obtuvo buen valor por su dinero, un premio de diez millones de dólares sin ni siquiera tomar un préstamo.

El equipo de Value DeFi, por su lado, sólo obtuvo otro lugar en nuestro leaderboard.

REKT sirve como plataforma pública para autores anónimos, nos deslindamos de la responsabilidad por las opiniones y contenidos alojados en REKT.

dona (ETH / ERC20): 0x3C5c2F4bCeC51a36494682f91Dbc6cA7c63B514C

aviso legal:

REKT no es responsable ni culpable de ninguna manera por cualquier Contenido publicado en nuestro Sitio Web o en conexión con nuestros Servicios, sin importar si fueron publicados o causados por Autores ANÓN de nuestro Sitio Web, o por REKT. Aunque determinamos reglas para la conducta y publicaciones de los Autores ANÓN, no controlamos y no somos responsables por cualquier contenido ofensivo, inapropiado, obsceno, ilegal o de cualquier forma objetable, que se pudiera encontrar en nuestro Sitio Web o Servicios. REKT no es responsable por la conducta, en línea o fuera de línea, de cualquier usuario de nuestro Sitio Web o Servicios.