Ang pagkawala ng isang CryptoPunk dahil sa bug sa smart contract ay ang uri ng bagay na nagpapakilig sa mga tagapag-ayos ng NFT. Ngunit ang pagkuha nito muli, sa kabilang banda, ay ang uri ng bagay na halos hindi nagaganap.
Ipinatupad ng Yuga Labs ang isang white-hat operation noong June 8, at binawi ang 68 NFT na may halagang higit sa $500,000 mula sa Flooring Protocol pagkatapos magkaron ng accounting bug na nag-expose sa liquidity pools ng platform sa pag-aabuso. Sa mga napulot na ari-arian: dalawang CryptoPunks, 29 Bored Apes, at apat na Mutant Apes.
Ano talaga ang nangyari
Ang Flooring Protocol, isang platform para sa fractionalization ng NFT, ay may isang kakulangan na nakatago sa kanyang lohika ng pagsasaulo at pag-verify ng pagmamay-ari. Nahanap ng isang attacker na pinapayagan ng bug na sila ay mag-mint ng halos walang hanggang balanse ng fpToken, na ang pambansang token ng protokolo na ginagamit upang kumatawan sa fractional na pagmamay-ari ng NFT.
Pinahintulutan ng exploit ang pagbaba ng dust amount ng WETH sa mga pool, isang mabagal na pagbubuhos na maaaring magresulta sa pagbawas ng lahat ng pinakamataas na halaga ng mga ari-arian ng protocol. Ang arkitekto ng Flooring Protocol, na kilala bilang 0xFreeLunch, ay tumanggap ng pananagutan para sa vulnerability.
Ipinatupad ni Yuga Labs ang pagtutol bago lumaganap ang pinsala. Ipinaglaban ng kumpanya ang isang defensive contract na epektibong nagmirror sa sariling mekanismo ng exploit, gamit ang parehong bug upang i-draw ang mga blue-chip NFT nang ligtas bago makapag-claim ang mga masamang aktor.
Ang operasyon ng pagliligtas, hakbang-hakbang
Ang defensive contract ni Yuga ay nag-replicate ng paraan ng attacker, nag-mint ng fpTokens sa pamamagitan ng nasirang accounting logic at ginamit ito upang kuhanin ang mga NFT na may mataas na halaga mula sa mga exposed na pools. Ang operasyon ay nagdala ng kabuuang 68 NFT sa iba’t ibang collections.
Dalawang CryptoPunks, 29 na Bored Ape Yacht Club NFT, at apat na Mutant Ape Yacht Club NFT ang nagsilbing pinakamalaking halaga sa kinuha. Ang mga natitirang asset ay nagsasaklaw sa iba pang koleksyon na inilagay sa mga fractionalization pool ng Flooring Protocol.
Ang lahat ng narecover na NFT ay kasalukuyang nasa pag-aalaga ng Yuga Labs. Ang kompanya ay nagpahayag na babalikin nila ito sa kanilang mga may-ari nang maayos matapos mapatch ang vulnerability ng protokolo.
Bakit mahalaga ito sa labas ng isang protokolo
Ang exploit sa Flooring Protocol ay nagtatapos ng mga tanong tungkol sa kagalingan ng NFT-focused DeFi infrastructure. Ang mga accounting bug, lalo na ang mga pagkakamali sa paraan kung paano tinatayong ang pagmamay-ari at awtoridad sa pagmimint ng mga token, ay isa sa mga pinakabasehang kategorya ng mga vulnerability sa smart contract. Ito ay mga uri ng problema na disenyo ng mga komprehensibong audit upang makita bago ang deployment.
Para sa Yuga Labs, ang tugon ay nakakatanda at desisibong mabilis. May direktang pananalapi at reputasyong interes ang kompanya sa pagprotekta sa mga tagapag-angkat ng CryptoPunks at Bored Ape, dahil sa pagkuha nila sa IP ng CryptoPunks mula sa Larva Labs noong 2022.