Como (não) perder todo seu dinheiro com DeFi. (RektHQ)

[joker_josue]

Imagino um futuro próximo no qual teremos um tipo de "antivírus" ou apenas um programa para varrer um smartcontract e identificar comandos e/ou artifícios que possam causar assinaturas em segundo plano possibilitando o desvio ou roubo de tokens na mesma rede ou até mesmo moedas das mais diversas.

Tecnicamente isso é muito difícil de acontecer. Não digo isto sei alguma coisa especifica, mas por observar como grandes empresas de software trabalham. Eles normalmente tem equipas para testar, convidam clientes a testar e pagam a quem encontrar bugs, porque um PC não consegue ver esses erros.

Talvez quando o IA estiver muito desenvolvido isso possa vir acontecer, mas por agora isso tem de ser sempre feito por humanos.

Por isso, como já foi mencionado, ou é feito pela empresa que desenvolve ou pelos utilizadores capacitados.

[Lucasgabd]

uma coisa é encontrar um bug no smartcontract que poderia ser previsto e "pré-categorizado"
outra completamente diferente é encontrar um erro de lógica imprevisto...

muito mais difícil de automatizar isso.

[TryNinja]

Revivendo o tópico por que rolou outro exploit e não tava afim de criar outro tópico só para ele.

O projeto do Mango Markets na Solana perdeu $100m+ depois de ter o seu token pumpado como forma de manipular o protocolo. O projeto foi criado como um mercado de perps descentralizado, onde você pode abrir uma posição alavancada em moedas como BTC, ETH, e SOL com as vantagens da rede da Solana (taxa baixa e confirmação rápida).

O exploit, simplificado:

1. Conta deposita $5m USDC e usa ele como colateral para abrir um long no MNGO-PERP.
2. Hacker pumpa o MNGO 5-10x em minutos, fazendo com que o oracle on-chain reporte essa subida.
3. Com o lucro lá nas alturas, o hacker (conta do ponto 1) saca toda a liquidez do projeto (como um "empréstimo").



Saiu o rekt dele: https://rekt.news/mango-markets-rekt/

[joker_josue]

Bem... que esquema. Começo a pensar quantos projetos "fake-DeFi" andam por ai para criar estes esquemas!?

Na vossa opinião, acham que com o aumento destes esquemas - pelo menos a tornarem-se públicos, a credibilidade comece a diminuir nesse tipo de projetos?

[Lucasgabd]

hahaha TryNinja
caraca, já tinha até esquecido desse tópico
algumas vezes também te dá a sensação de que nada de novo acontece nos exploits em DeFi? (to exagerando, claro!) mas que a maioria dos ataques parecem variações de coisas que já aconteceram, com uma ou outra novidade.

[Disruptivas]

Saiu o rekt dele: https://rekt.news/mango-markets-rekt/

Sobre o comentário do Lucas de que ''nada de novo acontece nos exploits em DeFi'', acho que seria super legal se o leaderboard do rekt também trouxesse a informação de qual foi o tipo de ataque, de forma que funcionasse também como uma biblioteca que rankeasse os tipos de ataques mais comuns, talvez até por tipo de solução/setor.

Exemplo: DeFi - ataque x
Bridge - ataque y

Acho que seria uma forma interessante de usar o leadboard também pra que os builders sérios pudessem consultar pra prestar atenção a isso.

[joker_josue]

mas que a maioria dos ataques parecem variações de coisas que já aconteceram, com uma ou outra novidade.

Olho para isso de duas formas:
- Muitos não aprenderam com o passado, e continuam a cometer os mesmos erros. E o pior é nem se darem ao trabalho de rever os seus códigos fonte, para tentar verificar se tem os mesmos problemas ou não.
- A maioria dos contratos DeFi, foram copiados uns dos outros e por sua vez o mesmo erro num esta presente noutro. O copiar não é algo necessariamente mau, mas o facto de não haver alterações minimamente significativas, é sinal que o que esta no mercado é tudo igual sou muda os nomes e um outro detalhe não significativo.

[Lucasgabd]

sugestão bem legal mesmo Disruptivas!
pq não manda pra eles pelo twitter ou email? costumam ser bem abertos para feedbacks

bom comentário joker! concordo

[TryNinja]

Bem... que esquema. Começo a pensar quantos projetos "fake-DeFi" andam por ai para criar estes esquemas!?

Na vossa opinião, acham que com o aumento destes esquemas - pelo menos a tornarem-se públicos, a credibilidade comece a diminuir nesse tipo de projetos?

Sim e não. A verdade é que um projeto com time anon pode muito bem ter sido criado apenas para dar um golpe no futuro através de um exploit premeditado. Tem como saber quais são legítimos e quais foram criados com esse intuito? Não.

Mas esse tipo de ocorrido com certeza acaba tirando confiança e dinheiro desse mercado, então começam a ser exigidos golpes e esquemais ainda mais complexos e bem pensados.

O que mais tá complicando esse exploit da Mango é que postaram um screenshot onde um user explicava o ataque passo-a-passo MESES antes do ocorrido, sendo que o time ignorou tudo.

[joker_josue]

O que mais tá complicando esse exploit da Mango é que postaram um screenshot onde um user explicava o ataque passo-a-passo MESES antes do ocorrido, sendo que o time ignorou tudo.

Isso é que é grave. Parece que o time já sabia, e se calhar até aproveitava isso mesmo. Atenção, que não estou a dizer que queriam-se aproveitar, apenas digo que quase passa essa ideia.

Infelizmente esta é a parte mais triste deste mercado, que acaba por ter muita influencia e prejudicar muita gente. Isso acaba por só trazer má reputação para o mercado.
No final, quem ganha é o Bitcoin, porque as pessoas começam a olhar para ele com mais confiança.

[TryNinja]

A novela se agrava...

Descobriram a identidade do hacker da Mango. Ele é um player já famoso no ecossistema DeFi e já foi desenvolvedor de outro projeto chamado FortressDAO (que eu inclusive participei momentaneamente!) cujo tesouro também foi roubado por ele.

Agora ele quer fugir da lei dizendo que o hack da Mango foi uma "estrategia de trading super lucrativa", e que ele não fez nada de errado ou ilegal. Seu thread no twitter: https://twitter.com/avi_eisen/status/1581326197241180160

I believe all of our actions were legal open market actions, using the protocol as designed, even if the development team did not fully anticipate all the consequences of setting parameters the way they are.

[...]

Para quem quiser ler sobre o seu envolvimento com o FortressDAO: https://twitter.com/valuekingdom33/status/1491089936128552960

[joker_josue]

Agora ele quer fugir da lei dizendo que o hack da Mango foi uma "estrategia de trading super lucrativa", e que ele não fez nada de errado ou ilegal. Seu thread no twitter: https://twitter.com/avi_eisen/status/1581326197241180160

Essa esta boa!
Ai e tal "nos criamos isto para vos roubar, não temos culpa que vocês aceitassem os termos".  

O dinheiro deixa muita gente doida, a fazerem coisas que numa situação normal nunca fariam.

[Lucasgabd]

que migué bizarro falar que um hack desse foi uma estratégia de trading lucrativa. 

como descobriram a identidade dele? ele que falou mesmo ou teve uns breadcrumbs no processo?

[joker_josue]

como descobriram a identidade dele? ele que falou mesmo ou teve uns breadcrumbs no processo?

Mesmo que ainda não se tenha descoberto, mais cedo ou mais tarde, vai se descobrir.

Essa malta é tão "viciada" neste tipo de esquemas, que não conseguem parar e em algum momento vai se conseguir descobrir.

[TryNinja]

como descobriram a identidade dele? ele que falou mesmo ou teve uns breadcrumbs no processo?

Não sei dizer exatamente, mas acho que conectaram com alguns papos em um servidor do Discord. Vou procurar saber mais.

E hoje rolou outro hack no mesmo estilo. Alguém depositou a moeda CELO em uma plataforma de empréstimos e as utilizou como colateral para pegar outra moeda. Depois ele redepositou essa moeda e, pumpando seu preço, a utilizou como colateral para limpar a plataforma.

https://twitter.com/FrankResearcher/status/1582448720985014273

[Lucasgabd]

como descobriram a identidade dele? ele que falou mesmo ou teve uns breadcrumbs no processo?

Não sei dizer exatamente, mas acho que conectaram com alguns papos em um servidor do Discord. Vou procurar saber mais.

E hoje rolou outro hack no mesmo estilo. Alguém depositou a moeda CELO em uma plataforma de empréstimos e as utilizou como colateral para pegar outra moeda. Depois ele redepositou essa moeda e, pumpando seu preço, a utilizou como colateral para limpar a plataforma.

https://twitter.com/FrankResearcher/status/1582448720985014273

os hacks do mesmo "estilo" poderiam ter um nome
esse combina com "ouro de tolo"
vc infla um colateral para conseguir pegar um empréstimo que pelo protocolo pareceria undercollaterized mas na verdade é overcollaterized

interessante

ao que parece o dinheiro foi devolvido e o hacker levou um bug bounty
https://twitter.com/FrankResearcher/status/1582507387415846913?s=20&t=agDVp1euRuxMcmNl4nfDnQ

[TryNinja]

Depois de farmar quase todos os protocolos DeFi na existência, o SBF da FTX agora quer guiar uma regulamentação do mercado. Gostei bastante desse novo post da rekt: SBF - THE REGULATOR

Esse thread mostra como o SBF e o pessoal da Alameda Research são super tubarões que tentam extrair o máximo do mercado, especialmente do retail: https://twitter.com/CroissantEth/status/1583279221853794304

[TryNinja]

que migué bizarro falar que um hack desse foi uma estratégia de trading lucrativa.  

Não colou.

Update sobre esse caso do exploit na Mango:

A novela se agrava...

Descobriram a identidade do hacker da Mango. Ele é um player já famoso no ecossistema DeFi e já foi desenvolvedor de outro projeto chamado FortressDAO (que eu inclusive participei momentaneamente!) cujo tesouro também foi roubado por ele.

Agora ele quer fugir da lei dizendo que o hack da Mango foi uma "estrategia de trading super lucrativa", e que ele não fez nada de errado ou ilegal. Seu thread no twitter: https://twitter.com/avi_eisen/status/1581326197241180160

I believe all of our actions were legal open market actions, using the protocol as designed, even if the development team did not fully anticipate all the consequences of setting parameters the way they are.

[...]

Procuradores dos EUA estão atrás do autor do exploit (""estrategia de trading lucrativa"") por tentar roubar $110 milhões da exchange descentralizada: https://twitter.com/Tree_of_Alpha/status/1607865144889016320/photo/1

U.S. vs. Eisenberg, U.S. District Court, Southern District of New York, No. 22-mj-10337.

Acabou o drama do "code is law" absoluto. Exploit também é roubo.