Protokół Stake DAO na Arbitrum został dotknięty exploitem umożliwiającym nieograniczone bicie tokenów 27 maja. Atakującemu udało się stworzyć 5,4 biliona syntetycznych tokenów vsdCRV, zanim zespół zatrzymał naruszenie.
Jak działał atak
Exploit celował w mechanizm syntetycznych tokenów protokołu na Arbitrum, pozwalając atakującemu na wybicie ogromnej podaży tokenów vsdCRV. Tokeny te mają reprezentować zablokowane pozycje CRV, ale błąd nieograniczonego bicia umożliwił atakującemu ich generowanie bez pokrycia. Szaleństwo bicia trwało, dopóki główni współpracownicy nie zauważyli nieprawidłowej aktywności.
Powstrzymanie i reakcja
Główni współpracownicy Stake DAO działali szybko po wykryciu exploita. Zabezpieczyli środki na mainnecie, które stanowiły pokrycie syntetycznych tokenów, uniemożliwiając atakującemu wyprowadzenie rzeczywistych aktywów. Zespół zamknął również most vsdCRV między Arbitrum a Ethereum, odcinając atakującemu możliwość przenoszenia wybitych tokenów. Ten ruch skutecznie powstrzymał exploit – atakujący nie mógł zamienić syntetycznych tokenów na nic wartościowego na mainnecie.
Co to oznacza dla użytkowników
Dotknięty protokół jest częścią wdrożenia Stake DAO na Arbitrum, które pozwala użytkownikom deponować CRV w celu zarabiania zysków. Token vsdCRV jest syntetyczną reprezentacją tej zablokowanej pozycji. Przy wyłączonym moście użytkownicy nie mogą na razie przenosić vsdCRV między łańcuchami. Zespół nie ogłosił, kiedy most zostanie ponownie otwarty ani jak postąpi z 5,4 biliona tokenów, które zostały wybite.
Niewyjaśnione pytania
Stake DAO nie ujawniło, czy atakującemu udało się osiągnąć zysk przed odcięciem mostu, ani ile stracono w procesie jego zamykania. Główni współpracownicy protokołu powiedzieli, że podzielą się więcej szczegółami po pełnym przeglądzie. Użytkownicy czekają na jasny harmonogram wznowienia normalnego działania.
