Mais um hack na Binance Smart Chain faz protocolo perder US$ 13 milhões

O Belt Finance é mais um protocolo da Binance Smart Chain vítima de um ataque de empréstimo instantâneo (flash loan). A ofensiva consiste em explorar uma vulnerabilidade nas regras do contrato inteligente para manipular a funcionalidade de empréstimo e sacar mais valores do que o normal de um pool de liquidez.

No caso do Belt Finance, o hacker utilizou uma brecha no mecanismo de balanceamento de cotas de um dos pools de liquidez do contrato.

O atacante realizou um empréstimo instantâneo no começo da transação para levantar US$ 200 milhões, depositou o valor em um dos pools e depois executou um swap de BUSD para USDT que confundiu o protocolo, erroneamente ajustando a recompensa do depósito para cerca de US$ 1 milhão.

O hacker realizou o mesmo procedimento várias vezes, chegando a obter, no total, oito empréstimos de US$ 385 milhões na PancakeSwap. Os passos foram repetidos até que ele acumulou US$ 6 milhões em lucro limpo após devolver os empréstimos com juros.

No entanto, o ataque resultou em perdas muito maiores para o protocolo, que perdeu US$ 13 milhões após a manipulação do smart contract.

Empréstimo instantâneo

Um empréstimo instantâneo, ou flash loan, é um empréstimo tomado e pago na mesma transação. Pela garantia de que o valor será devolvido apenas se a operação do tomador for bem sucedida, em geral esse tipo de crédito permite obter valores muito maiores do que um empréstimo comum com garantias em criptomoedas.

Os flash loans são usados principalmente para expandir as possibilidades de lucro no meio DeFi, mas vêm sendo muito usados justamente para aumentar a capacidade de roubo em ataques como o que aconteceu contra o Belt Finance.

Pelo menos dois grandes protocolos da Binance Smart Chain podem ter sido atingidos por um ataque utilizando flash loans na última semana. Um deles foi o PancakeBunny, cujo hacker roubou US$ 3,6 milhões, e teve o token nativo ir a zero.

Já o BurgerSwap teria sofrido o mesmo tipo de ofensiva em ataque de US$ 7,2 milhões. No entanto, levando em conta o histórico duvidoso do projeto, especialistas consideram que é possível que o episódio tenha sido, na verdade, um golpe dos próprios criadores.

Saques suspensos na Belt Finance

O hack ao Belt Finance ocorreu em poucos minutos na noite de sábado (29) envolveu apenas o pool com o par BELT/BUSD. Segundo os desenvolvedores do projeto, os pools BELT/BTC, BELT/ETH e BELT/BNB não foram afetados.

Eles prometem dar mais detalhes sobre o caso em breve junto com as correções no contrato, além de divulgar um plano de compensação às vítimas. Até lá, os saques estarão suspensos.

Fundos parciais de nosso pool 4Belt foram afetados (o valor exato será anunciado em breve). Agora estamos analisando e firmando nosso contrato de segurança. O plano de compensação e o relatório do incidente estarão disponíveis em breve. A retirada de cofres BSC será pausada até que a atualização do contrato seja concluída.

Logo depois que a notícia do hack veio à tona, o token do Belt Finance caiu 32%, de US$ 40 para US$ 27, mas se recuperou nas horas seguintes. No fechamento da matéria, o BELT era negociado a pouco menos de US$ 35.

O artigo Mais um hack na Binance Smart Chain faz protocolo perder US$ 13 milhões foi visto pela primeira vez em BeInCrypto.