Por dentro da exploração de US$ 3 bilhões da DeFi na plataforma de Cripto da Acala

Quando a plataforma de finanças descentralizadas Acala foi atacada no sábado, permitindo que os perpetradores cunhassem o que tecnicamente valia US$ 3 bilhões em suaum USD stablecoins, uma pergunta natural a ser feita era: a Acala T auditou seu código?

Sim, o protocolo baseado em Polkadot certamente fez isso. Mas o exploit envolveu uma configuração incorreta em um dos Acala's pools de liquidez– a espinha dorsal das exchanges descentralizadas (DEXes), onde criptomoedas são trocadas de acordo com uma equação matemática em vez de um livro de ordens convencional – que se originam de outro projeto inteiramente, o protocolo Honzon. E isso permitiu que 3,02 bilhões de novas stablecoins aUSD fossem criadas, o que reduziu drasticamente seu preço de US$ 1 cada pretendido.

“T realizamos uma revisão exaustiva do protocolo Honzon. Declaramos na época que revisões adicionais eram necessárias para investigar completamente os problemas que identificamos”, disse Nick Selby, vice-presidente da prática de garantia de software na Trail of Bits, em uma entrevista com a CoinDesk. Essa empresa foi uma das várias firmas que auditaram os contratos inteligentes da Acala no ano passado.

Em uma declaração ao CoinDesk, Bryan Chen, cofundador e CTO da Acala, explicou que várias auditorias foram realizadas com várias empresas de auditoria de ponta além da Trail of Bits. Uma dessas empresas foi a Security Research Labs (SRLabs), uma empresa de consultoria e pesquisa em segurança cibernética.

“Todo o código envolvido nas cunhagens de erro aUSD era um código maduro que havia sido auditado diversas vezes e também testado em batalha no Karura, nossa rede canário em Kusama", disse Chen. (Kusama é um ambiente de desenvolvimento experimental para projetos relacionados ao Polkadot.)

Bette Chen, cofundadora e CEO da Acala, também esclareceu a situação ao enfatizar que as auditorias T detectam configurações incorretas de parâmetros.

"Uma configuração de parâmetro não faz parte de uma mudança de código. Por exemplo, quando a taxa de liquidação é alterada, não há necessidade de nova auditoria; uma votação de governança pode atualizar parâmetros. O código em si, no entanto, deveria ter evitado a configuração incorreta, que não é detectada por auditorias internas e externas", disse ela em uma declaração à CoinDesk.

Em outras palavras, o código do protocolo deveria ter detectado o erro na configuração dos parâmetros, mas T o fez.

Leia Mais: Em Cripto, a Segurança da Camada Base T é Suficiente

Cerca de 2,97 bilhões dos 3,02 bilhões de aUSD cunhados erroneamente foram recuperados posteriormente, e aproximadamente 1,29 bilhão de aUSD foram queimados após uma votação urgente de governança. A comunidade Acala também votou para queimar os 1,68 bilhões de aUSD restantes em uma votação posterior. Veja como tudo se desenrolou.

Pool de liquidez iBTC/aUSD

Intercalação, uma rede de stablecoin descentralizada, lançou recentemente o InterBTC (iBTC) – um token Wrapped Bitcoin . Os tokens encapsulados são versões sintéticas (ou tokenizadas) de Cripto que não são nativos dos blockchains em que existem. Esses tokens iBTC estrearam em duas plataformas Polkadot DeFi: Acala e Moonbeam.

Leia Mais: O que são pools de liquidez?

Em 4 de agosto, Acalaanunciadoum pool de liquidez iBTC/aUSD. O pool estava programado para ser lançado por volta de 13 de agosto. Os membros da comunidade Acala foram encorajados a contribuir com iBTC e aUSD para o pool a fim de estabelecer liquidez. Esses provedores de liquidez seriam posteriormente recompensados com interlay (INTR) e acala (ACA) fichas.

Ataque das ‘balas de erro’

O pool de liquidez iBTC/aUSD foi lançado conforme o cronograma em 13 de agosto. Logo depois, as cunhagens de erro foram iniciadas. A causa raiz foi uma configuração incorreta do protocolo que distribuiu recompensas em aUSD em vez de INTR e ACA.

Em minutos, um colaborador da Acala percebeu a atividade e notificou a comunidade. Pouco depois, a comunidade Acala realizou uma votação de governança que autorizou a interrupçãoTroca de Acala, Protocolo DEX da Acala.

Investigações posteriores revelaram a configuração incorreta do protocolo Honzon como a causa raiz dos erros de mints. Votações subsequentes foram realizadas resultando em um acordo para pausar Honzon e, finalmente, retificar a situação.

Como uma stablecoin, o aUSD normalmente é negociado em uma proporção aproximada de 1:1 com o dólar americano. O valor do aUSD caiu de cerca de US$ 1,03 para US$ 0,009 após o ataque.

Leia Mais: Stablecoin da plataforma DeFi Acala cai 99% após hackers emitirem 1,3 bilhão de tokens

Rastreando os culpados

Em 15 de agosto, Acala tinharastreou todas as transações relacionadas à casa da moeda com errospara 16 carteiras. O valor total de aUSD nessas carteiras foi inicialmente estimado em cerca de 1,29 bilhão. Outros 4,3 milhões permaneceram não reclamados no pool de recompensas iBTC/aUSD.

Dois dias depois, em 17 de agosto, a comunidade Acala conduziu uma segunda análise de rastreamento de transações. Eles descobriram que um total de 3,022 bilhões de aUSD (e não 1,29 bilhão como estimado originalmente) havia sido erroneamente cunhado e reivindicado (como dinheiro de recompensa) por provedores de liquidez. Felizmente, um adicional de 1,68 bilhão de aUSD também foi recuperado, elevando o total de fundos recuperados para 2,97 bilhões do total de 3,02 bilhões.

A comunidade aprovou um referendo para queimar os 1,29 bilhões de aUSD recuperados em 15 de agosto. Isso restaurou parcialmente a paridade do token, que atualmente está em cerca de US$ 0,80. Outra votação de governança ocorreu em 20 de agosto para queimar os 1,68 bilhões de aUSD restantes.

Depois da exploração de Acala

Acala identificou claramente o protocolo de pool de liquidez aUSD Honzon como a fonte da vulnerabilidade de cunhagem. O ativo pareado com aUSD dentro do pool em questão, iBTC, não foi afetado, nem seu código foi parte do problema. A Interlay (criadora do iBTC) se distanciou do desastre.

“Há uma coisa importante a esclarecer – não foi um hack do iBTC… O Interlay/iBTC não foi comprometido. O incidente não colocou em risco o Interlay como rede, nem o iBTC como produto, de forma alguma. Todas as operações do sistema foram e permanecem totalmente funcionais,” Alexei Zamyatin, cofundador e CEO da Interlay, disse em uma entrevista ao CoinDesk .

A extensão total dos erros de hortelã da Acala ainda está sendo investigada. Em uma declaração,Bette Chen disse:

“Continuamos trabalhando com nossos parceiros e Colaboradores para rastrear aUSD cunhado erroneamente por 16 endereços de carteira. Os resultados continuarão a ser publicados de forma transparente, e a comunidade pode continuar a formular coletivamente propostas para resolver o aUSD cunhado erroneamente. Agradecemos imensamente a paciência e o apoio de todos."

ATUALIZAÇÃO (23 de agosto, 9:58 UTC):Corrige a ortografia de Moonbeam no 10º parágrafo.

ATUALIZAÇÃO (23 de agosto, 13:55 UTC):Adiciona uma votação comunitária realizada no fim de semana no 9º parágrafo.