Los atacantes saquean $ 5 millones de Osmosis en LP exploit, $ 2 millones devueltos poco después

Osmosis, un intercambio descentralizado (DEX) construido sobre la red Cosmos, se detuvo justo antes de las 3:00 a.m. EST del miércoles después de que los atacantes explotaran un error del proveedor de liquidez (LP) de aproximadamente $ 5 millones.

El error fue primero identificado en una publicación de Reddit en la página oficial de Cosmos Network. El usuario Straight-Hat3855 llamó la atención sobre un “problema grave” con Osmosis (OSMO) que permitía a los usuarios aumentar arbitrariamente los LP en un 50% simplemente agregando y eliminando liquidez. La publicación de Reddit se eliminó rápidamente, pero no antes de que los actores maliciosos explotaran la falla, eliminando alrededor de $ 5 millones de los fondos de liquidez del intercambio Osmosis.

Después del exploit y la identificación del error LP, el intercambio de ósmosis se detuvo en una altura de bloque de 4.713.064, según un anuncio del explorador de bloques de ósmosis Mintscan.

El moderador del proyecto, RoboMcGobo, explicó cómo funcionaba el error en una serie de publicaciones en Osmosis Discord, que detallaban cómo el error permitía a los atacantes agregar liquidez a cualquier LP de Osmosis y luego retirarlos inmediatamente para obtener un retorno del 150 % sobre su depósito inicial: “Esencialmente, la función daría un 50% de acciones de LP de más para una unión”, escribió RoboMcGobo poco después de las 4:00 p.m. del miércoles, y agregó: “Si obtuviste 10 acciones de LP, habrías obtenido 15”.

RoboMcGobo declaró que el error fue “explotado intencionalmente por un pequeño número de usuarios” y “aparentemente sin querer por algunos otros”. Según un hilo de Twitter de Osmosis, cuatro atacantes fueron responsables del 95 % del monto total del exploit, y dos de los atacantes dieron un paso al frente voluntariamente para devolver los fondos robados.

Actualizar:

– Se han identificado 4 personas que representan más del 95% del volumen de explotación realizado.

– 2 de las 4 personas declararon proactivamente su intención de devolver la cantidad utilizada en su totalidad.

— Ósmosis (@osmosiszone) 8 de junio de 2022

Aproximadamente una hora después de que Osmosis tuiteara sobre el ataque, FireStake, un validador en el ecosistema de Cosmos, publicó un hilo de Twitter en el que admitió que “una falta temporal de buen juicio” llevó a dos miembros de su equipo a usar el que habría explotado alrededor de $ 2 millones en bichos.

Firestake dijo a sus 1.700 seguidores de Twitter que están “pensando en ello”. [their] el futuro de la familia”, mientras explotaban aún más el error. Sin embargo, después de admitir haber estado “estresados ​​​​toda la noche” por el evento, decidieron devolver voluntariamente el dinero y “arreglar las cosas”.

querida @osmosezone comunidad, muchos de ustedes saben sobre el error de Osmosis LP que ocurrió ayer.

Sin creer que es real, dos miembros de @fire_stake Comenzó a probar para ver si existía el error, las pruebas se convirtieron en una falta temporal de buen juicio y…

— FireStake | apostador (@stake_fire) 8 de junio de 2022

Según una publicación del cofundador de Osmosis, Sunny Aggarwal, los otros dos piratas informáticos responsables del robo realizaron una serie de transacciones con intercambios centralizados, lo que Aggarwal cree que hará que sea más fácil rastrearlos.

RoboMcGobo se hizo eco de las palabras de Aggarwal en Discord del proyecto: “Los fondos se han vinculado a cuentas CEX. Se ha notificado a la policía… esperamos que los explotadores hagan lo correcto aquí para que no se requiera una acción agresiva”.