Kiloex Dex pirateado por «Price Oracle Exploit» por $ 7.5 millones

Kiloex, un intercambio descentralizado (DEX) construido en la cadena BNB, sufrió un ataque de $ 7.5 millones y ha suspendido las operaciones. Los analistas de seguridad describen el hack como un «Exploit de Oracle de precio». Binance Labs financió el DEX como parte de su programa para apoyar proyectos de Binance Coin (BNB). Kiloex ha aislado la exploit y ahora está tratando de rastrear los fondos y recuperar los tokens robados para sus usuarios.

El hack afectó múltiples tokens porque la plataforma tiene un diseño de múltiples cadenas, incluida la cadena inteligente BNB, Taiko y Base. El atacante utilizó una dirección con fondos obtenidos de Cash Tornado, lo que llevó a algunos comentaristas a creer que los piratas informáticos norcoreanos pueden estar detrás del ataque debido a su propensión a usar mezcladores como parte de sus ataques. El atacante usó Metamask para transferir los fondos. Por alguna razón, el hacker no se dirigió a Ethereum, sino que se centró en retirar las establo. Los fondos robados se sentaron en billeteras separadas sin indicar que el efectivo de Tornado se estaba utilizando para ocultar los tokens.

Chaofan Shou, cofundador de Fuzzland, dijo que el ataque probablemente fue el resultado de un problema de Oracle de precios porque cualquiera puede cambiar el precio de Kiloex. Según Shou, hay un proceso de reenvío de confianza, pero no hay verificación después de que se complete el delantero. Shou concluyó que la exploit era un proceso muy simple y, por lo tanto, podría haberse prevenido.

Kiloex aisló rápidamente el ataque y suspendió su plataforma. Se comunicó con otras empresas de seguridad para ayudar a rastrear los fondos. Kiloex desarrolló un enfoque novedoso para lidiar con la violación, recompensando a cualquiera que los haya ayudado a recuperar los fondos robados. Para evitar este tipo de ataque, Kiloex tiene como objetivo crear un informe final que describa lo que salió mal.

Los usuarios de Kiloex almacenaron predominantemente sus tokens en la bóveda del kiloex, que resultó ser el objetivo principal de los intrusos, causando las máximas pérdidas para los usuarios. Kiloex luego compartió la dirección del atacante para que otras plataformas pudieran evitar que los piratas informáticos retiren los fondos robados. Las direcciones de la lista negra se han convertido en la última estrategia para las plataformas para evitar que el dinero robado ingrese a la economía en general.

Kiloex ha existido desde 2023 y recientemente comenzó a expandir sus operaciones. El DEX introdujo más tokens de memes basados ​​en BNB para que los usuarios intercambien. A pesar del reciente ataque, el DEX todavía tiene alrededor de $ 47.2 millones en valor total. En el último día, Kiloex tenía una actividad por valor de $ 31.8 millones, con $ 22 millones invertidos en el comercio BTC-USDT.

Los oráculos de precio sirven como una puerta de entrada entre el mundo de Dex y el mundo externo. En el caso de Kiloex, obtienen el precio de los tokens como Bitcoin o Ethereum y usan los datos para decidir cuánto dinero ganó un comerciante. Los oráculos de precio, por lo tanto, pueden ser atacados por los piratas informáticos porque el precio en teoría podría cambiarse para beneficiar al atacante. Así es como ocurrió el ataque del kiloex, con el atacante manipulando el oráculo del precio para que el intercambio pagó desproporcionadamente una recompensa. Según el historial de transacciones, el atacante probablemente estableció el precio de Ethereum a $ 100 y luego cambió el precio a $ 10,000, obteniendo una gran ganancia y retirando todo el dinero extra. Los usuarios de Kiloex, mientras tanto, perdieron todas sus fichas ganadas con tanto esfuerzo en cuestión de minutos.

Kiloex comenzó sus operaciones a medida que los DEX perpetuos se hicieron populares, con el potencial de autocustody y más control sobre sus fondos. Kiloex resuelve todas las operaciones en la cadena, lo que significa que tiene sus fondos de inmediato. Sin embargo, en el caso del atacante, la capacidad de bloquear las transacciones permitió que los fondos robados se bloqueen, sean inmutables, robados para siempre y legitimados por las actividades en la cadena. Kiloex, al ser un DEX, no ofreció servicios de KYC, permitiendo transacciones anónimas.