Perder um CryptoPunk devido a um bug em um contrato inteligente é o tipo de coisa que mantém os detentores de NFTs acordados à noite. Recuperá-lo, no entanto, é o tipo de coisa que quase nunca acontece.
A Yuga Labs realizou uma operação de white-hat em 8 de junho, recuperando 68 NFTs avaliados em mais de US$ 500.000 do Flooring Protocol após um erro contábil expor os pools de liquidez da plataforma à exploração. Entre os ativos resgatados: dois CryptoPunks, 29 Bored Apes e quatro Mutant Apes.
O que realmente deu errado
O Flooring Protocol, uma plataforma de fractionalização de NFTs, tinha uma falha oculta em sua lógica de contabilidade e verificação de propriedade. Um atacante descobriu que o bug permitia a eles cunhar saldos de fpToken quase infinitos, que é o token interno do protocolo usado para representar a propriedade fracionária de NFTs.
A exploração permitiu que quantias de poeira de WETH esvaziassem os pools, um vazamento lento que poderia ter eventualmente esvaziado o protocolo de seus ativos de maior valor. O arquiteto do Flooring Protocol, conhecido como 0xFreeLunch, assumiu a responsabilidade pela vulnerabilidade.
Yuga Labs interveio antes que os danos se espalhassem ainda mais. A empresa implantou um contrato defensivo que efetivamente espelhou os próprios mecanismos da exploração, usando o mesmo bug para transferir os NFTs de alto valor para segurança antes que atores mal-intencionados pudessem reivindicá-los.
A operação de resgate, passo a passo
O contrato defensivo da Yuga replicou o método do atacante, cunhando fpTokens por meio da lógica contábil quebrada e usando-os para extrair NFTs de alto valor das piscinas expostas. A operação retirou um total de 68 NFTs em várias coleções.
Dois CryptoPunks, 29 Bored Ape Yacht Club NFTs e quatro Mutant Ape Yacht Club NFTs representaram a porção mais valiosa do saque. Os demais ativos abrangeram outras coleções depositadas nas pools de fractionalização do Flooring Protocol.
Todos os NFTs recuperados estão atualmente sob custódia da Yuga Labs. A empresa afirmou que serão devolvidos aos seus legítimos proprietários assim que a vulnerabilidade do protocolo for corrigida.
Por que isso importa além de um único protocolo
A exploração do Flooring Protocol levanta questões sobre a maturidade da infraestrutura DeFi voltada para NFTs. Erros de contabilidade, especificamente falhas na forma como os protocolos rastreiam a propriedade de tokens e a autoridade de cunhagem, estão entre as categorias mais básicas de vulnerabilidades de contratos inteligentes. Esses são os tipos de problemas que auditorias abrangentes foram projetadas para detectar antes da implantação.
Para a Yuga Labs, a resposta foi notavelmente rápida e decisiva. A empresa tem um interesse financeiro e reputacional direto em proteger os detentores de CryptoPunks e Bored Ape, tendo adquirido a propriedade intelectual dos CryptoPunks da Larva Labs em 2022.