Plataforma cripto Popsicle Finance perde US$ 20 milhões via empréstimos-relâmpago

A formadora descentralizada de mercado Popsicle Finance sofreu uma invasão de US$ 20 milhões por conta de uma falha “simples”.

A plataforma entra para a lista de mais de 20 hacks a projetos de finanças descentralizadas (DeFi) que aconteceram este ano, cujo prejuízo total ultrapassou os US$ 310 milhões.

“Estamos cientes da atual invasão ao Fragola. Iremos investigar e publicar o ‘post-mortem’. Os outros contratos da Popsicle Finance não foram atacados. Se você ainda possui fundos nos pares ETH/AXS, ETH/SLP, ETH/LINK ou qualquer pool EURt, favor removê-los imediatamente”, tuitou a equipe.

1/

We are aware of the current exploit to Fragola. We will investigate and publish post mortem.

The other Popsicle Finance's contracts have not been exploited.

If you still have funds in the ETH/AXS, ETH/SLP, ETH/LINK or any EURt Pool please remove them immediately.

Leia também

Crypto Times

Bitcoin (BTC) pega impulso nas opções de ETFs e ultrapassa os US$ 94 mil

Crypto Times

Bitcoin (BTC) e Ethereum (ETH): Movimentos de correção puxam moedas para baixo, mas criptos podem atingir novos recordes

— Popsicle Finance (@PopsicleFinance) August 4, 2021

Fragola é uma ferramenta que fornece liquidez e ajuda fornecedores de liquidez (LPs) a maximizarem seus ganhos via taxas de negociação.

Aparentemente, o invasor usou empréstimos-relâmpago (ou “flash loans”) — onde tokens são pegos emprestado, usados em uma tarefa específica e pagos de volta na mesma transação — para pegar emprestado cerca de US$ 30 milhões em tether (USDT) e US$ 32 milhões em ether (ETH).

O empréstimo-relâmpago foi usado para maximizar o impacto do ataque.

Popsicle Finance exploited, hacker drained ~$25m. The hack was complex but the bug was simple. TX Hash: https://t.co/CqyVvCq5I7

Basically, Popsicle doesn't transfer the reward debt when users transfer their shares. This exposes multiple exploits, one of which was used here ?? pic.twitter.com/shdYdyemD9

— Mudit Gupta (@Mudit__Gupta) August 4, 2021

Segundo Mudit Gupta, desenvolvedor principal do SushiSwap (SUSHI), “o hack era completo, mas o bug era simples”.

Ele explicou que, sob certas condições, o contrato permitiu que qualquer um recebesse recompensas bem antes do previsto. Também permitiu que o invasor obtivesse múltiplas recompensas pelas mesmas cotas.

Gupta acrescentou que essa falha era bem comum, usada em diversos outros protocolos antes desse ataque.