SpankChain perde 40.000 $ in un attacco hacker a causa di un bug dello smart contract

SpankChain, un progetto Criptovaluta incentrato sul settore per adulti, ha subito una violazione che ha causato il furto di quasi 40.000 dollari in Ethereum (ETH).

In unpost del blog pubblicato martedì, il team di SpankChain ha rivelato l'hack, affermando che 165,38 ETH (del valore di circa $ 38.000 all'epoca) erano andati persi intorno alle 18:00 PST di sabato. L'intrusione, che il post ha affermato essere stata resa possibile da un bug nello smart contract del canale di pagamento della rete, ha anche causato il congelamento di $ 4.000 nel token BOOTY di SpankChain.

A quanto pare ci sono volute più di 24 ore prima che il progetto si rendesse conto che l'attacco era avvenuto, e il post affermava:

"Purtroppo, mentre eravamo impegnati a indagare su altri bug degli smart contract, T ci siamo accorti che l'hack era avvenuto fino alle 19:00 PST di domenica, momento in cui abbiamo disattivato Spank.Live per impedire che venissero depositati fondi aggiuntivi nello smart contract dei canali di pagamento."

Delle criptovalute rubate, 9.300 $ di ETH e BOOTY appartenevano agli utenti, e il resto al progetto. Secondo il post del blog, i rimborsi completi saranno "inviati direttamente agli account SpankPay degli utenti e saranno disponibili non appena riavviamo Spank.Live".

SpankChain ha avvisato di un ritardo di 2-3 giorni in arrivo mentre i suoi sviluppatori correggono il problema dietro l'hack, ridistribuiscono un nuovo smart contract e risolvono gli altri problemi contrattuali su cui si stava già lavorando. Sono stati inoltre imposti temporaneamente dei limiti all'uso dei token BOOTY.

Finora, afferma il team, sembra che l'attacco sia stato dovuto a un bug di "reentrancy", simile a ONE che ha permesso a grave hack del progetto Cripto DAO nel 2016.

"L'aggressore ha creato un contratto dannoso mascherato da token ERC20, in cui la funzione di 'trasferimento' richiamava più volte il contratto del canale di pagamento, prosciugando ogni volta un po' ETH ", ha affermato il team, aggiungendo che nei prossimi giorni intraprenderà "un'indagine approfondita sull'attacco".

SpankChain ha inoltre ammesso di aver deciso di non pagare per un audit di sicurezza per il contratto del canale di pagamento a causa dei costi implicati. Tuttavia, "tenendo conto sia del valore percepito che del costo opportunità del tempo impiegato per reagire all'attacco, ne sarebbe valsa la pena", afferma il post.

L'azienda ha concluso impegnandosi a migliorare le proprie pratiche di sicurezza, "assicurandosi di ottenere più audit interni per ogni codice di smart contract che pubblichiamo, nonché almeno ONE audit esterno professionale".

Contenuto per adultiimmagine tramite Shutterstock