A DAO Stake sofreu um evento de segurança no Arbitrum; supostamente, o atacante obteve a chave privada do depósito do protocolo, alterou a configuração do endpoint LayerZero v2 do vsdCRV e, em seguida, falsificou mensagens cross-chain, desencadeando uma cunhagem anormal em larga escala.
O caminho de ataque aponta para a chave privada e a configuração cross-chain
De acordo com a divulgação, o problema estava na configuração de comunicação entre cadeias do vsdCRV. O atacante alterou o endereço de destino do LayerZero v2 para um alvo controlável e criou uma mensagem intercadeia maliciosa, permitindo que o contrato cunhasse diretamente cerca de 5,44 trilhões de vsdCRV para sua carteira sem restrições adicionais.
Esses ataques não são realizados por meio da compra no mercado aberto, mas sim explorando diretamente as permissões do protocolo e os processos de validação de mensagens entre cadeias, criando uma oferta de tokens que não deveria existir.
Alguns tokens já foram trocados e transferidos para a Ethereum
A empresa de segurança blockchain Blockaid afirmou que o atacante já vendeu parte dos tokens, obtendo aproximadamente 43,78 ETH, e transferiu os fundos para a rede principal da Ethereum. Isso indica que os ativos relacionados já começaram a ser transferidos entre cadeias, o que pode aumentar a dificuldade de rastrear e congelar posteriormente.
- O ataque ocorreu na rede Arbitrum
- O token envolvido é o vsdCRV da Stake DAO
- Já foram convertidos alguns fundos em aproximadamente 43,78 ETH
Na pesquisa da equipe, os usuários foram lembrados de revogar a autorização.
A equipe do DAO ainda está investigando os detalhes do evento, com foco possível na forma como a chave privada foi comprometida, quando as alterações de configuração ocorreram e se outros contratos ou ativos também foram afetados.
Durante a investigação, os usuários foram orientados a revogar imediatamente as autorizações relacionadas para reduzir os riscos futuros. Para protocolos DeFi, uma vez que permissões implantadas ou configurações cross-chain sejam comprometidas, o impacto frequentemente se espalha rapidamente de um único contrato para níveis de transferência de fundos e liquidez.