Como (não) perder todo seu dinheiro com DeFi. (RektHQ)

[l3pox]

Tenho gostado bastante do trabalho da rekt.news, são um grupo de jornalismo investigativo que une hacks em crypto, conteúdo educativo e informação no mesmo lugar.

hoje descobri um vídeo deles bem legal, em parceria com a Finematics criaram esse vídeo

Como (não) perder todo seu dinheiro com DeFi. (RektHQ)



Vale ver para entender melhor os ataques (sejam eles hacks ou exploits) que tem acontecido ultimamente.
Rug Pulls, Flashloans e mais.

A gente costuma falar sobre o lado bom e promissor de DeFi mas também tem um lado nefasto e perigoso, pra alegria do @bitmover criei esse tópico para falarmos desse outro lado também.

e aí, já foi hackeado esse ano?

[TryNinja]

Sou leitor ávido deles. Sempre que tem um hack/exploit, eu fico esperando o artigo sobre os acontecimentos. Também já salvei o dinheiro de alguns amigos com o conhecimento que obtive lendo sobre esses rugs.

[TryNinja]

Para não reclamarem que nós só falamos das mil maravilhas do DeFi (), a ValueDefi acaba de sofrer o maior exploit da história dos exploits.

O total perdido? Mais de $100 milhões (!!).

Tx do exploit: https://bscscan.com/tx/0x2fd0aaf0bad8e81d28d0ee6e4f4b5cbba693d7d0d063d1662653cdd2a135c2de

Ainda não saiu nenhum post mortem do time, mas algumas contas no twitter já estão comentando sobre:

https://twitter.com/harvest_finance/status/1390774681226158082
https://twitter.com/FarmerBrownDeFi/status/1390767819843903488

Eu mesmo tinha algumas stables por lá e, em um certo momento, fiquei rapidamente em uma das farms que levou o exploit. Por sorte, acabei migrando por conta da incompetência do time (vide os acontecimentos ).

O Value já tinha sido exploitado (pela segunda vez!) essa semana, e eles apareceram na rekt.news por conta disso: https://rekt.news/value-rekt2/

Em breve deve estar saindo o rekt3.

[bitmover]

Outro dia um conhecido perdeu dinheiro numa DeFi e está me contando sobre o assunto. Eu não perguntei qual era a DeFi, mas o fundador havia sumido com todos os fundos.

Fiz uma pesquisa no google... Pode ter sido essa, mas devem ter tantas DeFi desse tipo:

https://news.bitcoin.com/defi-project-yfdex-finance-vanishes-with-20m-investors-funds-just-two-days-after-launch/

Yfdex.Finance (Yfdex), a new liquidity mining pool, has reportedly exit scammed, making off with up to $20 million of investors’ funds. The decentralized finance (Defi) project convinced people to hand over their life savings following just two days of aggressive marketing on social media, and then disappeared without a trace.

..

Cryptowhale expressed skepticism towards the whole economy of decentralized finance, telling his 33,000 followers on Twitter that: “99.99% of Defi tokens are scams, and will go this (Yfdex) route. Please be very careful if you are heavily invested.”

É por aí mesmo. As pessoas olham as defi e pensam "Nossa vou ficar rico, 200%por ano, não é pirâmide, é tecnologia.".

As pessoas entram querendo ficar ricas com dinheiro fácil, e acabam perdendo dinheiro, caindo em golpes.

Paciência, consistência e estratégia de longo prazo que são o caminho para liberdade financeira. Quer renda passiva? Um investimento de renda fixa IPCA+6 por 10 anos tem um poder multiplicador enorme. Só fazer as contas.

Para mim, essas DeFi são exatamente igual eram as ICO. 99% piramide, um projeto ou outro que salva. Aparece um monte de piramide/shitcoin inutil valorizando 10.000%. Mas uma hora elas caem 99%.  E é do dia para a noite.

Dá pra tentar surfar essa onda? Certamente. Mas é arriscado, e no longo prazo 100% BTC irá render muito bem, duma forma mais segura e provavelmente mais rentável do que se arriscando nesses esquemas, onde ganha-se mas também perde-se muito dinheiro.

[TryNinja]

Acabou de acontecer o maior hack DeFi de todos os tempos. Mais de $600 milhões foram roubados de uma projeto entre 3 chains (BSC, ETH e Polygon). *head blown*

Sim... é esse valor mesmo. E não foram em shitcoins sem liquidez, mas sim em ETH, BTC, DAI, USDC, e USDT.

O pessoal da Tether foi rapido e conseguiram colocar o endereço em sua blacklist, travando os $30 milhões de USDT, minutos antes que ele tentasse depositar na Curve. O restante das moedas, porém, está sob controle do hacker.

Agora um fato curioso, alguém mandou uma transação para o endereço do hacker com uma mensagem embutida avisando sobre os tokens travados. O que o hacker fez? Lhe mandou uma gorjeta de 13.37 ETH.

Thread em real-time sobre o acontecimento: https://twitter.com/Dogetoshi/status/1425077426728615962

Endereço do hacker na Ethereum: https://etherscan.io/address/0xc8a65fadf0e0ddaf421f28feab69bf6e2e589963#tokentxns

edit:

Perdas:

1.  #PolyNetwork was exploited on @ethereum @BinanceChain @0xPolygon,  loss of ~$611M w/  2857 ETH, 96.3M USDC, 26KW ETH, 1K WBTC, 33.4M USDT, 259B SHIB, 14 renBTC, 673KDAI, 43KUNI on @ethereum 6.6KBNB, 87.6MUSDC, 26.6KETH,1KBTCb, 32.1MBUSD on @BinanceChain 85MUSDC on @0xPolygon

[sabotag3x]

Acabou de acontecer o maior hack DeFi de todos os tempos.

Estava lendo as notícias[1] que dizem que os caras conseguiram roubar as chaves privadas por conta de alguma falha na assinatura..

2021 e os caras ainda estão usando RNG com falhas? será que foi isso?

[1] https://www.theblockcrypto.com/post/114045/at-least-611-million-stolen-in-massive-cross-chain-hack

[l3pox]

quase 1 fucking bilhão de dólares (ok. ainda longe mas sem dúvidas 600 mi impressiona...)

curioso pra ler o report na rekt sobre esse e ver os detalhes.

realmente:
não tem um dia "chato" em crypto

sempre alguma coisa surreal acontecendo.

agora, será que um dia teremos um hack ainda maior que esse? foi olímpico.

[TryNinja]

Estava lendo as notícias[1] que dizem que os caras conseguiram roubar as chaves privadas por conta de alguma falha na assinatura..

2021 e os caras ainda estão usando RNG com falhas? será que foi isso?

Há especulações.

Achei esse thread que discute outra possibilidade, onde o hacker conseguiu mandar um payload para o contrato que chama uma função exclusiva do operador do contrato (outro contrato), que muda as keys responsaveis por verificar se a transação assinada de transferencia é válida: https://twitter.com/kelvinfichter/status/1425217046636371969

[...] It keeps track of the list of public keys that authenticate data coming from the other chain. If you can modify that list, you don't even need to hack private keys. You just set the public keys to match your own private keys. [...]

agora, será que um dia teremos um hack ainda maior que esse? foi olímpico.

Espero que não. Acho que o pior que podia acontecer é um hack em um dos grandes protocolos: Aave, Compound, Yearn.


O curioso foi o que aconteceu DEPOIS do hack. O carinha recebeu 13.37 ETH do hack, um monte de gente ficou fazendo a mesma coisa para ver se ganhava um troco e o hacker postou uma mensagem se passando po newbie "wonder why use tornado, can the miners freeze me? can you teach pls?"

[TryNinja]

E a novela continua... parece que o hacker quer devolver o dinheiro?

"FAILED TO CONTACT THE POLY. I NEED A SECURED MULTISIG WALLET FROM YOU"
https://etherscan.io/tx/0x79245fb1d1ae48a214118e25d6ad2f9324f514ec6708135a19ba9d4cfa6344f6

"READY TO RETURN THE FUND!"
https://etherscan.io/tx/0x7b6009ea08c868d7c5c336bf1bc30c33b87a0eedd59dac8c26e6a8551b20b68a

edit:

"IT'S ALREADY A LEGEND TO WIN SO MUCH FORTUNE. IT WILL BE AN ETERNAL LEGEND TO SAVE THE WORLD. I MADE THE DECISION, NO MORE DAO"
https://etherscan.io/tx/0xd239b01026c49b234d075e3d23a07efd1c3234239cfb440c0f90d5e84836fbe2

edit 2:

Olha que troll.

"WHAT IF I MAKE A NEW TOKEN AND LET THE DAO DECIDE WHERE THE TOKENS GO"
https://etherscan.io/tx/0x4c102e972301b999318df70e3d3a067994dcc83951f07f7f37c45ff7e922beec

[sabotag3x]

Olha que troll.

Gostei desse cara.. Logo ele queima todas as moedas em um endereço de queima e vai dormir

[l3pox]

é rir pra não chorar hahahaha
po, se ele devolve a grana vai ser lendário mesmo.

já to até vendo as manchetes.

será?

se devolver mereceria pelo menos 1 milhãozinho de bounty por ter encontrado a falha.

[sabotag3x]

E o cara continua, fez até um FAQ e começou a devolver parte dos fundos:

Q & A, PART ONE:

Q: WHY HACKING?
A: FOR FUN

Q: WHY POLY NETWORK?
A: CROSS CHAIN HACKING IS HOT

Q: WHY TRANSFERING TOKENS?
A: TO KEEP IT SAFE.

WHEN SPOTTING THE BUG, I HAD A MIXED FEELING. ASK YOURSELF WHAT TO DO HAD YOU FACING SO MUCH FORTUNE. ASKING THE PROJECT TEAM POLITELY SO THAT THEY CAN FIX IT? ANYONE COULD BE THE TRAITOR GIVEN ONE BILLION! I CAN TRUST NOBODY! THE ONLY SOLUTION I CAN COME UP WITH IS SAVING IT IN A _TRUSTED_ ACCOUNT WHILE KEEPING MYSELF _ANONYMOUS_ AND _SAFE_.

NOW EVERYONE SMELLS A SENSE OF CONSPIRACY. INSIDER? NOT ME, BUT WHO KNOWS? I TAKE THE RESPOSIBILITY TO EXPOSE THE VULNERABILITY BEFORE ANY INSIDERS HIDING AND EXPLOITING IT!

Q: WHY SO SOPHISTICATED?
A: THE POLY NETWORK IS DECENT SYSTEM. IT'S ONE OF THE MOST CHALLENGING ATTACKS THAT A HACKER CAN ENJOY. AND I HAD TO BE QUICK TO BEAT ANY INSIDERS OR HACKERS, I TOOK IT AS A BONUS CHALL

Q: ARE YOU EXPOSED?
A: NO. NEVER. I UNDERSTOOD THE RISK OF EXPOSING MYSELF EVEN IF I DON'T DO EVIL. SO I USED TEMPORARY EMAIL, IP OR _SO CALLED_ FINGERPRINT, WHICH WERE UNTRACABLE. I PREFER TO STAY IN THE DARK AND SAVE THE WORLD.

Q & A, PART TWO:

Q: WHAT REALLY HAPPENED 30 HOURS AGO?
A: LONG STORY.

BELIEVE IT OR NOT, I WAS _FORCED_ TO PLAY THE GAME.

THE POLY NETWORK IS A SOPHISTICATED SYSTEM, I DIDN'T MANAGE TO BUILD A LOCAL TESTING ENVIRONMENT. I FAILED TO PRODUCE A POC AT THE BEGINNING. HOWEVER, THE AHA MOMEMNT CAME JUST BEFORE I WAS TO GIVE UP. AFTER DEBUGGING ALL NIGHT, I CRAFTED A _SINGLE_ MESSAGE TO THE ONTOLOGY NETWORK.

I WAS PLANNING TO LAUNCH A COOL BLITZKRIEG TO TAKE OVER THE FOUR NETWORK: ETH, BSC, POLYGON & HECO. HOWEVER THE HECO NETWORK GOES WRONG! THE RELAYER DOES NOT BEHAVE LIKE THE OTHERS, A KEEPER JUST RELAYED MY EXPLOIT DIRECTLY, AND THE KEY WAS UPDATED TO SOME WRONG PARAMETERS. IT RUINED MY PLAN.

I SHOULD HAVE STOPPED AT THAT MOMENT, BUT I DECIDED TO LET THE SHOW GO ON! WHAT IF THEY PATCH THE BUG SECRETLY WITHOUT ANY NOTIFICATION?

HOWEVER, I DIDN'T WANT TO CAUSE _REAL_ PANIC OF THE CRYPTO WORLD. SO I CHOSE TO IGNORE SHIT COINS, SO PEOPLE DIDN'T HAVE TO WORRY ABOUT THEM GOING TO ZERO. I TOOK IMPORTANT TOKENS (EXCEPT FOR SHIB) AND DIDN'T SELL ANY OF THEM.

Q: THEN WHY SELLING/SWAPPING THE STABLES?
A: I WAS PISSED BY THE POLY TEAM FOR THEIR INITIAL REPONSE.

THEY URGED OTHERS TO BLAME & HATE ME BEFORE I HAD ANY CHANCE TO REPLY! OF COURSE I KNEW THERE ARE FAKE DEFI COINS, BUT I DIDN'T TAKE IT SERIOUSLY SINCE I HAD NO PLAN LAUNDERING THEM.

IN THE MEANWHILE, DEPOSITING THE STABLES COULD EARN SOME INTEREST TO COVER POTENTIAL COST SO THAT I HAVE MORE TIME TO NEGOTIATE WITH THE POLY TEAM.

Q & A, PART THREE:

Q: WHY TIPPING 13.37?
A: I FEELED THE WARMTH FROM THE ETHEREUM COMMUNITY.

I WAS BUSY INVESTIGATING ISSUES FROM HECO AND DEBUGGING MY SCRIPTS. I THOUGHT IT WERE NETWORKING ISSUES WHY I COULD NOT DEPOSIT (I WAS BEHIND A SOPHISTICATED PROXY). SO I SHARED MY GOODWILL THE GUY.

Q: WHY ASKING TORNADO AND DAO?
A: HAVING WITNESSED SO MANY HACKINGS, I KNEW DEPOSITING INTO TORNADO IS A WISE BUT DESPERATE DECISION. IT WAS AGAINST MY ORIGINAL INTENTION. BEING THE CROWDSOURCED HACKER WAS JUST MY BAD JOKE AFTER MEETING SO MANY BEGGARS

Q: WHY RETURNING?
A: THAT'S ALWAYS THE PLAN! I AM _NOT_ VERY INTERESTED IN MONEY!I KNOW IT HURTS WHEN PEOPLE ARE ATTACKED, BUT SHOULDN'T THEY LEARN SOMETHING FROM THOSE HACKS? I ANNOUNCED THE RETURNING DECISION BEFORE MIDNIGHT SO PEOPLE WHO HAD FAITH IN ME SHOULD HAD A GOOD REST

Q: WHY RETURNING SLOWLY?
A: I DO NEED TIME TO TALK WITH THE POLY TEAM. SORRY, IT'S THE ONLY WAY I KNOW TO PROVE MY DIGNITY WHILE HIDING MYSELF IDENTITY. AND I NEED SOME REST.

Q: THE POLY TEAM?
A: I ALREADY STARTED TALKING WITH THEM BRIEFLY, THE LOGS ARE ON THE ETHEREUM. I MAY OR MAY NOT PUBLISH THEM. THE PAINS THEY HAVE SUFFERED IS TEMPORARY BUT MEMORABLE.

I WOULD LIKE TO GIVE THEM TIPS ON HOW TO SECURE THEIR NETWORKS,SO THAT THEY CAN BE ELIGIBLE TO MANAGE THE BILLION PROJECT IN THE FUTURE. THE POLY NETWORK IS A WELL DESIGNED SYSTEM AND IT WILL HANDLE MORE ASSETS. THEY HAVE GOT A LOT OF NEW FOLLOWERS ON TWITTER, RIGHT?

[joker_josue]

Estamos perante um hacker há moda antiga? Parabéns para ele, se for verdade!

[TryNinja]

Mais um.

Q & A, PART FOUR:

Q: WHY CEX? NOOB?
A: WHATEVER

THE KEY CHALLENGE OF THIS HACK IS TO INVOKE SOME CONTRACT FROM THE ONTOLOGY NETWORK (MY FAVOURITE PART). YOU HAVE TO GET SOME "GAS" FOR THE ONTOLOGY NETWORK, WHICH IS CALLED "ONG".

HOWEVER, IT'S NOT A DEFI TRADABLE TOKEN. I CAN ONLY FIND IT ON SOME CHINESE(?) CEXES. WHY BOTHER TRADING FROM DEX IF YOU HAVE TO GO THROUGH CEX? WHY DO YOU THINK I MAY LEAVE TRACES IN THE DEXES?

Q: WHY REFUND? COWARD?
A: WHATEVER

WHEN YOU JUDGE OTHERS, YOU DO NOT DEFINE THEM, YOU DEFINE YOURSELF.

I ALREADY ENJOYED WHAT I CARED MOST: HACKING & GUIDING.

FEW HACKERS CAN UNDERSTAND THE SITUATION OF DEFI SECURITY. YES, YOU SEE A LOT OF HACKS, BUT MOST OF THEM ARE NOT ENJOYABLE AS A REAL HACKER. SOME STUPID CODE LEADS TO HUGE AMOUNT OF LOSS, BUT IT'S NOT CHALLENGING. IT'S LIKE FIGHTING AGAINST A TEENAGER.

I WOULD ADMIT THAT THE POLY HACK IS NOT AS FANCY AS YOU IMAGINE, BUT I DID EXPERIENCED SOMETHING NEW FROM THE PROJECT. I WOULD SAY FIGUING OUT THE BLIND SPOT IN THE ARCHTECTURE OF POLY NETWORK WOULD BE ONE OF THE BEST MOMENTS IN MY LIFE.

I HAVE GOT ENOUGH MONEY AS THE GROWTH OF THE CRYPTO WORLD. I HAVE BEEN EXPLORING THE MEANING OF LIFE FOR A WHILE. I HOPE MY LIFE CAN BE COMPOSED OF UNIQUE ADVENTURES, SO I LIKE LEARN & HACK EVERYTHING IN ORDER TO FIGHT AGAINST THE FATE. SEIN ZUM TODE.

TO BE HONEST, I DID HAVE SOME SELFISH MOTIVES TO DO SOMETHING COOL BUT NOT HARMFUL BY LEVERAGING THE HUGE FUND, LIKE THE DAO IDEA. THEN I REALIZED BEING THE MORAL LEADER WOULD BE THE COOLEST HACK I COULD EVER ARCHIVE! CHEERS!

E ainda pediu doações.

TO SUPPORTERS: DO NOT DONATE TO THIS ADDRESS. IT'S MIXING WITH THE POLY TOKENS. PLEASE SEND IT TO 0xA87fB85A93Ca072Cd4e5F0D4f178Bc831Df8a00B

O hacker devolveu $200 milhões na BSC. Final feliz!

https://bscscan.com/tx/0xec9507edd4c928eb64e59fe2c6dd605ac58792729ff30b0911939bfef0ad6278

[l3pox]

na moral: gênio
lendo os FAQs que ainda não tinha lido aqui, valeu por postarem

ainda soma na situação toda o fato dele mandar os FAQs como mensagens pela etherscan
o endereço dele ganhou a tag "PolyNetwork Exploiter 1"
0xC8a65Fadf0e0dDAf421F28FEAb69Bf6E2E589963

e ainda tem

Balance: 28,954.417720210940964474 Ether
Value: $87,881,869.58 (@ $3,035.18/ETH)
e 33 milhões de dólares em tokens

também tem o caso inteiro comentado na rekt se alguém se interessar:
https://www.rekt.news/polynetwork-rekt/



doidera.
diria que ainda não acabou tudo isso.


a parte mais legal é essa

I WOULD SAY FIGUING OUT THE BLIND SPOT IN THE ARCHTECTURE OF POLY NETWORK WOULD BE ONE OF THE BEST MOMENTS IN MY LIFE.

I HAVE GOT ENOUGH MONEY AS THE GROWTH OF THE CRYPTO WORLD. I HAVE BEEN EXPLORING THE MEANING OF LIFE FOR A WHILE. I HOPE MY LIFE CAN BE COMPOSED OF UNIQUE ADVENTURES, SO I LIKE LEARN & HACK EVERYTHING IN ORDER TO FIGHT AGAINST THE FATE. SEIN ZUM TODE.

fui pesquisar o que significa SEIN ZUM TODE, achei que era latim mas aparentemente é alemão
Estar de frente com a morte.

caí nesse site que começa com uma citação do Murakami, hahahaha sincronicidades, já falei de uns livros dele aqui no forum
“Death is not the opposite of life, but a part of it.”
Haruki Murakami

https://dasein.foundation/seinzumtode

[alegotardo]

Quem diria que eu viveria para ver isso.

$611 milhões "roubados", o mundo inteiro de olho e o dindin voltando.
O curioso é que qualquer poderia usar disso para ganhar maior fama na vida real, enquanto ele permanece no anonimato.

O hacker diz que já tem dinheiro o suficiente co ma valorização das criptos, mesmo assim não para de chover doações.
Será que ele vai reverter também essas doações a alguma entidade?

[Paredao]

Será que ele vai reverter também essas doações a alguma entidade?

Rapaz, já pensei em abrir uma entidade filantrópica para o setor de criptomoedas. Qual nome você acharia legal ? Que tal Associação dos Mãos de Alface ? Essa associação cuidaria em dar apoio emocional para aqueles que são tentados a vender suas criptomoedas em qualquer oscilaçãozinha do mercado. 

[joker_josue]

$611 milhões "roubados", o mundo inteiro de olho e o dindin voltando.
O curioso é que qualquer poderia usar disso para ganhar maior fama na vida real, enquanto ele permanece no anonimato.

Se ele realmente devolver tudo, vais ver que vai revelar quem é. Ou melhor mais cedo ou mais tarde vai-se saber quem foi. Mas quando isso acontecer, ele já estará com um emprego fantástico e nada lhe vai acontecer.

[TryNinja]

Se ele realmente devolver tudo, vais ver que vai revelar quem é.

Já devolveu tudo menos os $33 milhões de USDT que estão congelados. Mas não sei se faria sentido revelar a sua identidade.

1. Mesmo tendo devolvido o dinheiro, ainda é provavel que ele seria acusado de algum crime. Imagina roubar um banco só para devolver e falar que foi pegadinha, ou que estava apenas testando a segurança?

2. Há especulações de que o hacker só devolveu o dinheiro por que encontraram detalhes que linkam ele a sua real identidade. Por exemplo, o contrato do hack foi chamado uma única vez por um endereço diferente, conectado a exchanges com KYC, como FTX (talvez por engano). Também foi divulgado por algumas empresas de segurança focadas em crypto que eles obtiveram detalhes do hacker, como email, IP e fingerprint digital.

3. Se ele quisesse ganhar fama no cenário, devia ter avisado o projeto do exploit sem, de fato, puxar o gatilho. Ele recebia um bounty e ficava conhecido como o cara que salvou $600 milhões de um projeto DeFi. Essa atitude de realmente executar o exploit só se é vista de forma positiva em casos de emergencia (e.g roubar o $ antes que outro o faça).

[joker_josue]

Se ele realmente devolver tudo, vais ver que vai revelar quem é.

Já devolveu tudo menos os $33 milhões de USDT que estão congelados. Mas não sei se faria sentido revelar a sua identidade.

(...)

Os pontos que mencionados, fazem sentido e concordo.

Qualquer das formas, mais cedo ou mais tarde ele vai-se revelar. É muito raro um hacker fazer este tipo de ação e não deixar uma assinatura.
Podemos não vir a saber quem é na vida real, mas saberemos quem foi o hacker. (Ou já se sabe o nome dele/nickname?)