Un tesoro desconocido sufre un ataque por vulnerabilidad de firma múltiple de 60 000 dólares, con 317 000 dólares en riesgo
Investigadores de seguridad han revelado que un contrato de bóveda de identidad desconocida... fue explotado por un atacante de base que aprovechó vulnerabilidades en sus mecanismos de control de lista blanca y multifirma, provocando una pérdida de aproximadamente 6 millones de dólares en esa blockchain. El incidente fue descubierto el 4 de octubre, cuando la empresa de seguridad blockchain Blockaid detectó retiradas anómalas. En unos 40 minutos, las pérdidas estimadas aumentaron de 20,200 dólares a cerca de 6 millones de dólares.
Según datos de GoPlus, PeckShield, CertiK y Exvul, el atacante tomó prestados 1.783,067 aBaswstETH de la bóveda y canjeó estos tokens por recibos de Aave, a cambio de unos 1,783 wstETH. aBaswstETH representa wrapped staking ETH provisto en el mercado Aave Base.
El ataque no fue causado por el contrato principal de préstamos de Aave ni por vulnerabilidades de la red Base. Los investigadores determinaron que el robo se debió a fallos en la gobernanza multifirma de la bóveda y en su mecanismo de control de acceso. Un contrato recién creado fue añadido a la lista blanca de préstamos de la bóveda mediante una transacción Safe multifirma. Una vez en la lista blanca, este contrato pudo pedir prestadas posiciones de Aave de la bóveda y canjear los activos subyacentes.
Los propietarios operativos de la bóveda son tres cuentas Safe creadas usando Safe Proxy Factory 1.4.1. Siete direcciones de firma controlan esta cuenta, pero sus identidades no han sido reveladas. Los investigadores pueden rastrear las transacciones en cadena, pero con sólo los registros de la blockchain no se puede determinar si la actualización de la lista blanca se debió a robo de credenciales, ingeniería social, amenazas internas u otros errores de gobernanza.
Cabe destacar que, durante 25 días previos al ataque, la bóveda no realizó ninguna operación, pero durante el ataque se completaron repentinamente dos transacciones. Este repentino aumento de actividad podría indicar la manipulación de la identidad de un firmante o que algún interno aprobó los cambios. Ninguna empresa de seguridad ha confirmado públicamente cuál de estas explicaciones es la correcta.
Propiedad no reclamada y exposición a riesgos remanentes
La falta de propietarios identificados complica las medidas de respuesta. Ningún equipo de proyecto ha reconocido públicamente la existencia de la bóveda, ni ha presentado un plan correctivo o explicado cómo se aprobó la adición no autorizada a la lista blanca. La bóveda utiliza un OpenZeppelin transparent proxy con permisos de actualización independientes, lo que añade una capa de contrato entre los titulares de los activos y quienes ejercen el control final.
Se informa que, tras las retiradas, la bóveda aún conserva unos 317,000 dólares en activos. Posteriormente, un usuario anónimo on-chain envió un mensaje al atacante animándolo a extraer los fondos restantes y solicitando una propina, pero hasta ahora no se ha recibido una respuesta confirmada públicamente.
Por el momento, el riesgo sistémico directo parece limitado, ya que la implementación de Base de Aave y la blockchain subyacente no se han visto afectadas. Sin embargo, este suceso pone de manifiesto que las funciones de gestión de privilegios pueden suponer un riesgo mayor que los propios contratos inteligentes que gestionan. Si la identidad de los firmantes, los procesos de revisión de transacciones y los controles internos son débiles, la aprobación a través de multifirmas por sí sola no garantiza seguridad.
El incidente también ha suscitado preocupación sobre la liquidez de wstETH. La liquidación de unos 1,783 wstETH podría ejercer presión sobre el mercado a corto plazo, aunque hasta ahora no hay indicios de riesgo en el anclaje general del token recibo. Si los firmantes del Safe, la organización controladora de la bóveda o el atacante revelan su identidad, podrían salir a la luz más detalles.
Disclaimer: The content of this article solely reflects the author's opinion and does not represent the platform in any capacity. This article is not intended to serve as a reference for making investment decisions.
You may also like
BUZZ-TeraWulf duplica la capacidad de energía en su campus de centro de datos en Kentucky; las acciones suben
El 5 de octubre, las acciones del desarrollador de centros de datos TeraWulf (WULF.O) subieron un 3,2% en operaciones previas al mercado, alcanzando los 16 dólares. TeraWulf firmó un acuerdo enmendado con la subsidiaria Kentucky Power de American Electric Power (AEP.O), aumentando la capacidad contractual de energía en su Muskie Data Campus, ubicado en el este de Kentucky, de 500 megavatios a 1 gigavatio. El acuerdo adelanta la entrega planificada del proyecto de 500 megavatios de la segunda fase en el campus, de 2030 a 2029, aunque esto está sujeto a la aprobación de la Comisión de Servicios Públicos de Kentucky y depende del progreso de la construcción de Kentucky Power. Se espera que, durante los primeros 10 años del contrato, TeraWulf proporcione 100 millones de dólares en descuentos invernales en las facturas eléctricas para clientes residenciales de Kentucky Power. Hasta el último cierre, el precio de las acciones de la compañía ha subido un 34,8% en lo que va de año.
Las acciones de Texas Roadhouse suben después de que Evercore ISI elevara su calificación a “superar el mercado”
El 5 de octubre, las acciones de la cadena de restaurantes Texas Roadhouse (símbolo del mercado: TXRH.O) subieron un 1,2% en las operaciones previas a la apertura, alcanzando los 158,01 dólares, después de que Evercore ISI elevara su calificación de “en línea con el mercado” a “rendimiento superior al mercado”. La firma redujo el precio objetivo de 220 dólares a 200 dólares, lo que representa aún un potencial de subida del 28% respecto al precio de cierre anterior de 156,14 dólares. Según Evercore, la implementación total del sistema de cocina digital brindará a los restaurantes mayor confianza para responder a la demanda en horas pico, lo que impulsará el crecimiento adicional del servicio para llevar y permitirá a la empresa probar nuevos platos tras años de escasa innovación. Además, la firma añadió que la estrategia de precios de Roadhouse, que consiste en mantener los precios por debajo del nivel de inflación mientras sigue enfocada en el servicio, el valor y la ejecución, debería ayudar a sostener un sólido crecimiento de las ventas comparables. Entre 28 firmas de análisis, 16 recomiendan “comprar” o tienen una calificación superior para el valor y 12 recomiendan “mantener”; el precio objetivo mediano es de 211 dólares, según datos recopilados por LSEG. Hasta el cierre de ayer, las acciones bajan aproximadamente un 6% en el año.
Las acciones de Lumexa suben tras recibir una calificación de "compra" por parte de Truist
El 5 de octubre, las acciones del proveedor de equipos de diagnóstico Lumexa Imaging (LMRI.O) subieron un 2% en las operaciones previas a la apertura, cotizando a 10,6 dólares. La firma de corretaje Truist Securities inició la cobertura de la acción, otorgándole una calificación de "compra" y un precio objetivo de 18 dólares, lo que implica un potencial alcista aproximado del 74% respecto al cierre del día anterior. La compañía ofrece servicios de diagnóstico por imagen, que incluyen MRI, CT y PET, así como rayos X, ecografías y mamografías. Actualmente, los cinco corredores que cubren la acción han otorgado a LMRI una calificación de "compra" o superior; el precio objetivo mediano se sitúa en 17,50 dólares, según datos recopilados por LSEG. Hasta el cierre de la última sesión, el precio de LMRI ha caído un 44,22% en lo que va del año.
Roche obtiene la licencia de la terapia para el Parkinson de Alector por hasta 1.27 billions de dólares y las acciones de Alector se disparan
Reuters, 5 de octubre - La empresa biotecnológica estadounidense Alector anunció el lunes que la farmacéutica suiza Roche pagará hasta 1.27 billions de dólares para obtener la licencia de su terapia experimental para la enfermedad de Parkinson ALEC.O, lo que impulsó las acciones de la compañía a subir un 72% en operaciones previas a la apertura del mercado. La filial de Roche, Genentech, pagará a Alector un anticipo de 100 millones de dólares y, si la terapia alcanza metas de desarrollo, regulatorias y comerciales, podría pagar hasta 1.17 billions de dólares adicionales. Alector también recibirá regalías por el uso de patentes. Detalles específicos incluyen: el acuerdo otorga a Genentech los derechos exclusivos para desarrollar, fabricar y comercializar a nivel mundial AL050, una terapia experimental dirigida a abordar la deficiencia enzimática asociada con la enfermedad de Parkinson. Genentech será responsable del desarrollo, solicitudes regulatorias, producción y comercialización de la terapia. AL050 es una terapia de reemplazo enzimático destinada a corregir la deficiencia de la enzima GCase — cuya falta conduce a la acumulación de ciertos lípidos, aumentando el riesgo de desarrollar la enfermedad de Parkinson. Este acuerdo es el más reciente en una serie de licencias firmadas por Roche para expandir su cartera de investigación de medicamentos. En junio de este año, Roche firmó un acuerdo de licencia y colaboración con Nurix Therapeutics en relación con un medicamento para cánceres de sangre por un valor potencial de hasta 2.3 billions de dólares.
Crypto prices
More
