En un golpe sin precedentes al ecosistema de finanzas descentralizadas (DeFi), múltiples proyectos que utilizaban el lenguaje de programación Vyper enfrentaron pérdidas catastróficas, con atacantes llevándose más de $47 millones de dólares. El 30 de julio, el hackeo apuntó a las stable pools (piscinas estables) en Curve Finance, una conocida plataforma de creador de mercado automatizado.
Vulnerabilidades en Vyper: La puerta de entrada al hackeo de Curve Finance
Las vulnerabilidades, detectadas en las versiones 0.2.15, 0.2.16 y 0.3.0 de Vyper, se vincularon con bloqueos de reentrada defectuosos. Estos errores permitieron el acceso indebido a fondos en varios proyectos como Ellipsis, Alchemix, JPEG’d y Metronome, además de permitir el drenaje de 32 millones de tokens CRV de Curve Finance, valorados en más de $22 millones.
PSA: Vyper versions 0.2.15, 0.2.16 and 0.3.0 are vulnerable to malfunctioning reentrancy locks. The investigation is ongoing but any project relying on these versions should immediately reach out to us.
— Vyper (@vyperlang) July 30, 2023
Respuestas y medidas tomadas
El CEO de Curve Finance, Michael Egorov, confirmó las pérdidas, y en respuesta, se tomó acción inmediata. Curve Finance reembolsó a Aave con 4.63 millones de USDT y depositó $10.12 millones en CRV como garantía. Aave también actuó rápidamente, deshabilitando la función de préstamo de CRV para evitar explotaciones adicionales.
After #Curve was hacked, the founder of #Curvefi repaid 4.63M $USDT and deposited 16M $CRV ($10.12M) on #Aave.
— Lookonchain (@lookonchain) July 31, 2023
He currently has 293M $CRV ($181M) of collateral and 59.68M $USDT of debt on #Aave, with a health rate of 1.69.https://t.co/stkFvDrlnv pic.twitter.com/tzYlt9Vmfk
Análisis detallado de la vulnerabilidad de Vyper
Re-entrada y MEV: Tácticas de ataque
Los ataques, identificados como ataques de reentrada, usaron las vulnerabilidades de Vyper para entrar repetidamente en los contratos y sustraer fondos. Fue descubierto que los atacantes emplearon un bot de valor extraíble máximo (MEV) para anticiparse y aumentar las pérdidas de los proyectos afectados.
Impacto en tokens de gobernanza
Este hackeo también afectó significativamente los tokens de gobernanza de los proyectos atacados. JPEG, el token de gobernanza de JPEG’d, sufrió una caída del 22.47% en su valor, alcanzando un mínimo histórico.
Acciones continuas y prevención futura
Mientras tanto, otros proyectos afectados como Alchemix y MetronomeDAO están activamente trabajando en solucionar los problemas, con pérdidas de $13.6 millones y $1.6 millones, respectivamente.
Conclusión: Fortalecimiento y prevención
La investigación continúa, y los proyectos están trabajando incansablemente para corregir las vulnerabilidades y reforzar sus protocolos de seguridad. Este evento subraya la necesidad de prácticas de diseño y desarrollo sólidas en la comunidad DeFi para evitar futuros ataques.
