aBNBc foi atacado por hackers, a vulnerabilidade da função de emissão levou ao big dump do Token.

No dia 2 de dezembro, um laboratório monitorou dados na cadeia e descobriu que o projeto aBNBc foi alvo de um ataque de hacker, resultando em uma grande emissão de tokens. O hacker conseguiu emitir uma grande quantidade de tokens aBNBc, parte deles trocada por BNB em uma plataforma de negociação descentralizada, enquanto a outra parte foi mantida na carteira. Além disso, o hacker utilizou ferramentas de mistura de moedas para transferir fundos. Este incidente de ataque resultou na exaustão do pool de liquidez do token aBNBc, com o preço da moeda a cair drasticamente, enquanto o atacante utilizou os tokens emitidos para empréstimos colaterais, causando prejuízos na plataforma de empréstimos.

Após analisar múltiplos dados de transações, foi descoberto que, apesar de os endereços dos chamadores serem diferentes, todos causaram a emissão adicional de Tokens. O projeto havia realizado uma atualização de contrato antes de sofrer o ataque, e a função de emissão adicional no contrato lógico atualizado carecia de verificação de permissões.

O atacante chamou uma função específica no contrato lógico através de um contrato de proxy. Como essa função não realizou a verificação de permissões, resultou na emissão em massa de tokens aBNBc. Após o ataque, a equipe do projeto atualizou novamente o contrato lógico, e na nova versão, foi adicionada uma verificação de permissões à função de emissão.

Atualmente, os hackers já trocaram parte da aBNBc emitida por BNB e transferiram, com uma grande quantidade de aBNBc restante ainda retida na Carteira dos atacantes.

O ataque desta vez originou-se principalmente da atualização do contrato, onde a função de emissão adicional no novo contrato lógico carecia de verificação de permissões, permitindo que o hacker emitisse tokens à vontade. Atualmente, não está claro se foi utilizado código de contrato não auditado e não testado, ou se a divulgação da chave privada permitiu ao hacker atualizar o contrato por conta própria.

Este evento lembra os usuários e as equipes de projeto a armazenar adequadamente as chaves privadas e as frases de recuperação da Carteira, evitando o armazenamento descuidado. Ao realizar atualizações de contrato, é essencial realizar testes de segurança abrangentes para prevenir riscos semelhantes.