Wintermute - REKT

El vaso está medio vacío para Wintermute, que ha perdido 20M de OP, con un valor aproximado de ~$27.6M al momento del incidente.

Los fondos debían ser enviados a Wintermute por Optimism Foundation en un acuerdo para actuar como market maker antes del lanzamiento del token OP.

Pero Wintermute proporcionó la dirección de su multisig en Ethereum como dirección de destino en Optimism, una dirección que no controlaban.

Según el anuncio de Optimism Foundation, Wintermute confirmó la recepción de dos transacciones de prueba, primero por 1 OP y luego por 1M OP ,sin verificar que tuvieran acceso a los fondos.

Los 19M OP restantes se enviaron poco después de la segunda transacción de prueba el 27 de Mayo.

Según la declaración de Wintermute, notificaron a Optimism Foundation sobre su error el 30 de mayo.

El lanzamiento de OP siguió adelante independientemente el 1 de Junio, a pesar de que casi el 10% del supply que pronto circularía estaba en juego..

Un anón oportunista tomó el control de los fondos sin owner el 5 de junio.

¿Cómo obtuvo acceso el exploiter ?

Créditos: yoav.eth, kelvinfichter, banteg

Una vez enviados los tokens, estaban a la vista, listos para ser tomados por cualquiera que los notara…

La pista fue el hecho de que la dirección correspondía a un proxy de Gnosis Safe en la red mainnet, pero no tenía ningún contrato implementado en la dirección de Optimism.

Nadie podía tomar el control de la dirección como EOA, para lo que se necesitaría la private key.

Sin embargo, había una forma de acceder a los fondos; cualquiera podría tomar el control de la dirección implementando un proxy de Gnosis Safe en ella.

Sin embargo, esto no es una tarea fácil.

Wintermute afirma que:

Después de consultar con los equipos Optimism y Safe, Wintermute evaluó que los fondos eran potencialmente recuperables y que nadie más que Wintermute podría recuperarlos. La evaluación también fue que era una recuperación de alto riesgo que solo podía intentarse una vez y requería el soporte de Safe. La recuperación estaba prevista para el 7 de Junio. Sin embargo, la suposición de que los fondos solo pueden ser recuperados por Wintermute resultó ser falsa.

Ya que el Gnosis Safe de Wintermute en la red principal se creó en 2020, se implementó utilizando una versión anterior del contrato ProxyFactory, que incluye el código de operación create desactualizado, en lugar de create2.

Con create, la dirección proxy implementada depende solo de la dirección y el nonce de ProxyFactory. Esto significaba que el exploiter podía reproducir las implementaciones en Optimism (configurándose como owner) hasta que el nonce coincidiera con la implementación original de la red principal y se creara una dirección proxy coincidente.

Esto se logró finalmente después de ejecutar deployments por lotes de 162 safes a la vez, hasta que se creó la dirección coincidente en esta transacción.

Dirección del exploiter, utilizada para crear el contrato ProxyFactory, que fue financiado por Tornado Cash el 1 de Junio.

Multisig de Wintermute en Ethereum:0x4f3a120e72c76c22ae802d129f599bfdbc31cb81

Dirección hijacked en Optimism: 0x4f3a120e72c76c22ae802d129f599bfdbc31cb81

Hasta ahora, se envió 1M de OP al EOA del exploiter y se vendió por 720 ETH, y se envió otro 1M de OP a la dirección de Vitalik.

Los movimientos del exploiter son interesantes, como lo señala yoav.eth:

Financiado a través de Tornado hace 7 días

Luego implementó el contrato, esperó 4 días y hijacked el proxy de Wintermute

¿Por qué esperar 4 días?

Si buscaba asegurar el botín, ¿por qué darle a Wintermute más tiempo para preparar un intento de rescate?

Los 18M OP restantes aún no han sido objeto de dumping, ¿se debe a la falta de liquidez o el exploiter tiene la intención de devolver los fondos?

Wintermute no confía en ello:

Existe la esperanza de que se trate de un whitehat exploit , en cuyo caso los fondos restantes son potencialmente recuperables. Sin embargo, actualmente estamos operando bajo la premisa de que no es el caso.

Mientras tanto, Optimism Foundation ha proporcionado 20M OP adicionales a Wintermute para realizar sus funciones originales de market maker.

Dejando a un lado el balance de Wintermute, hay preocupaciones de mayor alcance planteadas por este incidente.

Tener casi el 10% del supply circulante de OP en manos de un mal actor es potencialmente peligroso para los procesos de gobernanza de Optimism, algo de lo que la Fundación es muy consciente.

Si esto cambia, la opción de "una actualización de red... para detener el movimiento de esos tokens OP" sentaría un precedente preocupante.

Aunque el error se marcó el día del lanzamiento de OP, la comunidad aparentemente ignoró la alerta. Sin embargo, el tuit se produjo horas después de que el exploiter financiara su dirección, por lo que es poco probable que haya sido la información para alertar sobre el incidente.

Si bien reemplazar 20M OP no será un problema para un MM gigante como Wintermute, el descuido de este incidente es alarmante.

Los fondos se colocaron en una dirección sin owner durante 9 días.

En un mercado que ya está en apuros, acciones como estas hacen que sea difícil mantenerse optimista.

Si disfruta de nuestro trabajo, considere donar a nuestra Gitcoin Grant.

REKT sirve como plataforma pública para autores anónimos, nos deslindamos de la responsabilidad por las opiniones y contenidos alojados en REKT.

dona (ETH / ERC20): 0x3C5c2F4bCeC51a36494682f91Dbc6cA7c63B514C

aviso legal:

REKT no es responsable ni culpable de ninguna manera por cualquier Contenido publicado en nuestro Sitio Web o en conexión con nuestros Servicios, sin importar si fueron publicados o causados por Autores ANÓN de nuestro Sitio Web, o por REKT. Aunque determinamos reglas para la conducta y publicaciones de los Autores ANÓN, no controlamos y no somos responsables por cualquier contenido ofensivo, inapropiado, obsceno, ilegal o de cualquier forma objetable, que se pudiera encontrar en nuestro Sitio Web o Servicios. REKT no es responsable por la conducta, en línea o fuera de línea, de cualquier usuario de nuestro Sitio Web o Servicios.