Hack de lotería PancakeSwap: $ 1.8 millones en cuestión

La Binance Smart Chain continúa viendo cómo se explotan algunos de los proyectos que se están construyendo. Lo último lo hizo alguien que tenía acceso a la dirección de administrador de PancakeSwap.

El exploit

Es un problema antiguo con los contratos inteligentes: la aleatoriedad. La solidez no tiene una función aleatoria nativa y todas las fuentes de aleatoriedad deben estar en cadena. Los proyectos usan cosas como encabezados de bloque, hashes de transacciones y más para crear fuentes legítimas de aleatoriedad, pero ninguno es verdaderamente aleatorio, son simplemente pseudoaleatorio.

Este problema ha dado lugar a exploits en el pasado, como el reciente exploit Meebits. Los números de la lotería PancakeSwap se generaron en función de ciertas condiciones predecibles. El explotador podría usar esta información para predecir los números de antemano, agotando así todo el grupo.

¿Quién lo hizo y por qué?

El autor de esta publicación ha proporcionado evidencia detallada que demuestra que esto puede haber sido un juego sucio de los administradores de PancakeSwap, dado que ellos crearon el contrato, ‘encontraron’ el exploit y tomaron el dinero usando su propia dirección.

Si bien es cierto que la cuenta de administrador hizo uso del exploit y agotó los fondos, el autor tiene una idea errónea: esto no fue un juego sucio y los fondos no fueron robados. Si bien no ha habido una declaración oficial del equipo de PancakeSwap sobre el asunto, este evento fue claramente una remoción de fondos del contrato, evitando que un actor malintencionado descubra el error y lo explote.

Esto es evidente, en primer lugar, por el hecho de que los administradores de PancakeSwap utilizaron su dirección pública conocida para llevar a cabo el exploit. Si quisieran drenar los fondos maliciosamente, habrían utilizado una cuenta anónima. En segundo lugar, los fondos recuperados del grupo de lotería se están quemando en lotes por la dirección del administrador.

Si bien un exploit da miedo y nunca es una buena señal, el manejo de esto por parte del equipo infunde cierta confianza, lo que demuestra que PancakeSwap está dispuesto a solucionar los problemas cuando sea necesario (a pesar de que podrían haber tomado el camino moralmente reprobable al robar al usuario fondos).