Perder un CryptoPunk debido a un error en un contrato inteligente es el tipo de cosa que mantiene despiertos a los titulares de NFT. Recuperarlo, sin embargo, es el tipo de cosa que casi nunca sucede.
Yuga Labs llevó a cabo una operación de ética blanca el 8 de junio, recuperando 68 NFT valorados en más de $500,000 del Flooring Protocol tras un error contable que expuso las piscinas de liquidez de la plataforma a explotación. Entre los activos rescatados: dos CryptoPunks, 29 Bored Apes y cuatro Mutant Apes.
¿Qué salió realmente mal?
El Flooring Protocol, una plataforma de fractionalización de NFT, tenía una falla oculta en su lógica de contabilidad y verificación de propiedad. Un atacante descubrió que el error les permitía acuñar saldos de fpToken casi infinitos, que es el token interno del protocolo utilizado para representar la propiedad fraccionaria de NFT.
La explotación permitió drenar cantidades de polvo de WETH de los pools, una pérdida lenta que podría haber vaciado eventualmente el protocolo de sus activos de mayor valor. El arquitecto del Flooring Protocol, conocido como 0xFreeLunch, asumió la responsabilidad por la vulnerabilidad.
Yuga Labs intervino antes de que el daño se extendiera más. La empresa implementó un contrato defensivo que replicó efectivamente las propias mecánicas del exploit, utilizando el mismo error para transferir los NFT de primera línea a un lugar seguro antes de que los actores malintencionados pudieran reclamarlos.
La operación de rescate, paso a paso
El contrato defensivo de Yuga replicó el método del atacante, acuñando fpTokens a través de la lógica contable defectuosa y utilizándolos para extraer NFTs de alto valor de las piscinas expuestas. La operación retiró un total de 68 NFTs en múltiples colecciones.
Dos CryptoPunks, 29 NFTs de Bored Ape Yacht Club y cuatro NFTs de Mutant Ape Yacht Club representaron la parte más valiosa del botín. Los activos restantes abarcan otras colecciones depositadas en las piscinas de fraccionamiento de Flooring Protocol.
Todos los NFT recuperados actualmente se encuentran bajo la custodia de Yuga Labs. La empresa ha declarado que serán devueltos a sus legítimos propietarios una vez que se repare la vulnerabilidad del protocolo.
Por qué esto importa más allá de un solo protocolo
La explotación del Flooring Protocol plantea preguntas sobre la madurez de la infraestructura DeFi centrada en NFT. Los errores contables, específicamente los errores en cómo los protocolos rastrean la propiedad de los tokens y la autoridad de acuñación, se encuentran entre las categorías más básicas de vulnerabilidades de contratos inteligentes. Estos son los tipos de problemas que las auditorías exhaustivas están diseñadas para detectar antes del despliegue.
Para Yuga Labs, la respuesta fue notablemente rápida y decisiva. La empresa tiene un interés financiero y de reputación directo en proteger a los titulares de CryptoPunks y Bored Ape, tras haber adquirido la propiedad intelectual de CryptoPunks de Larva Labs en 2022.