Hack op Convergence: $210 miljoen aan tokens gestolen door smart contract-exploit

Convergence , een gedecentraliseerd financiële protocol, heeft bevestigd dat het op 1 augustus is gehackt door een smart contract-exploit, waarbij een hacker $210 miljoen aan native tokens heeft gestolen en verkocht. Ook heeft de hacker circa $2.000 aan niet-geclaimde staking-beloningen van het platform kunnen stelen.

Eén specifiek contract is misbruikt

Naar verluidt wist de hacker het CvxRewardDistributor-contract te misbruiken, waardoor hij 58 miljoen CVG-tokens kon slaan en verkopen voor ongeveer $210.000.

Daarnaast stal de hacker ongeveer $2.000 aan niet-geclaimde beloningen van Convex, een DeFi-protocol dat is ontworpen om beloningen voor Curve-liquiditeitsaanbieders te maximaliseren. Volgens Etherscan vond de aanval plaats op 1 augustus rond 3:00 uur UTC.

Het blockchain-beveiligingsbedrijf PeckShield merkte op hun beurt op dat de hacker na het minten van de CVG-tokens deze snel omwisselde voor 60 wrapped-Ether en 15.900 Curve.fi FRAX.

Deze acties hebben geleid tot een prijsdaling van bijna 100% van de CVG-governancetoken, die nu wordt verhandeld voor $0,0004 met een marktkapitalisatie van slechts $57.000, volgens gegevens afkomstig van CoinMarketCap.

Eén regel aan code verwijderd uit hun smart contract

Convergence verklaarde dat de aanval mogelijk was doordat het team per ongeluk een essentiële regel code had verwijderd uit hun smart contract, dat beloningen voor CVG-staking verdeelt. Deze wijziging werd doorgevoerd nadat de code van het smart contract vier keer was gecontroleerd.

“De wijziging (gas-optimalisatie aan de eerste hand) leidde ertoe dat we de regel code verwijderden die de invoer controleerde die aan de functie werd gegeven”, legde Convergence uit.

De hacker gebruikte dit om het CvxRewardDistributor-contract te exploiteren via de claimMultipleStaking-functie. Hierdoor kon het stakingcontract niet gevalideerd worden, wat de hacker in staat stelde een apart kwaadaardig contract door te geven met dezelfde handtekening als de claimCvgCvxMultiple-functie.

De hacker sloeg vervolgens de tokens die bestemd waren voor staking-emissies en dumpte deze in CVG-liquiditeitspools, aldus Convergence.

“Wij verontschuldigen ons bij onze community en investeerders en we nemen de volledige verantwoordelijkheid voor wat er is gebeurd.”

Gebruikersfondsen zijn nog altijd veilig

Er wordt echter wel door Convergence verzekert dat gebruikersfondsen veilig zijn. Toch hebben ze hun gebruikers aanbevolen om hun activa van het platform af te halen via een opname.

“Door de exploit is het beloningscontract voor de Stake DAO-integratie momenteel kapot. Het zal worden opgelost en stakers kunnen hun beloningen claimen zodra het klaar is. Er gaan geen beloningen verloren voor Stake DAO-integratiegebruikers. Wij zullen binnenkort communiceren over de mogelijkheden voor de toekomst van het protocol.”, aldus het protocol.

Convergence werkt aan het aggregeren van liquiditeit, het verhogen van rendementen en het mogelijk maken van liquid locking in het Curve Finance-ecosysteem. De totale waarde die op Convergence is vergrendeld, daalde van $5,79 miljoen naar $3,69 miljoen, volgens gegevens afkomstig van DefiLlama.