El protocolo Altcoin Resupply sufrió un devastador ataque el 26 de junio, resultando en una pérdida de aproximadamente $9.5 millones debido a la manipulación de precios. El atacante infló artificialmente el precio por acción de cvcrvUSD envuelto apostado en Convex Finance a través de donaciones. Esta inflación afectó el contrato CurveLend: crvUSD/wstUSR de Resupply, causando una interrupción en los cálculos de la proporción de colateral. En consecuencia, el atacante pudo pedir prestado 10 millones de reUSD con un colateral mínimo de cvcrvUSD, intercambiando posteriormente el reUSD por otros activos en mercados externos. El equipo de Resupply ha pausado el contrato afectado.
La manipulación de precios explotó una vulnerabilidad
Según un informe de PeckShield, el atacante aumentó el precio por acción del cvcrvUSD mediante donaciones a su bóveda. Cuando el precio por acción aumentó, sesgó la fórmula de préstamos del protocolo a favor del atacante, creando una oportunidad para contratos de préstamo sin colateral.
Un solo wei de cvcrvUSD, generalmente considerado sin valor, fue tratado como un colateral sustancial gracias a la inflación artificial. Los analistas destacaron que tales vulnerabilidades podrían surgir en modelos de colaterales que dependen de piscinas de liquidez si las fuentes de precios no se verifican con fuentes confiables.
El colapso del contrato se debió principalmente a su dependencia de un solo oráculo para la determinación de precios. A pesar de las intenciones de Resupply de expandir la liquidez a través de su módulo “lend”, su capa de control de precios fue insuficiente. Los expertos en seguridad sugieren que la incorporación de oráculos diversos e implementar controles de límite podrían prevenir tales ataques.
Impacto continuo del ataque
El retiro de 10 millones de monedas reUSD del protocolo tras el ataque llevó a fluctuaciones temporales en el mercado de Resupply. El equipo del proyecto anunció la suspensión de los contratos afectados y prometió revelar un plan de compensación para los usuarios afectados pronto. Aunque el precio del cvcrvUSD volvió a su nivel original tras las donaciones, el desequilibrio en la deuda y el colateral causó una pérdida permanente en las carteras de préstamos.
PeckShield informó que durante el incidente, el atacante comercializó rápidamente reUSD en varios intercambios descentralizados, complicando el proceso de seguimiento. Los analistas señalaron que recuperar reUSD sería un desafío debido a su emisión de un fondo limitado, aunque se están considerando escenarios de congelación de blockchain para mitigar el daño.
- El ataque a Resupply causó pérdidas financieras de $9.5 millones.
- La manipulación de precios destacó vulnerabilidades en los modelos de colaterales.
- El equipo de Resupply planea compensar a los usuarios afectados pronto.
