SpankChain pierde $40,000 en un hackeo debido a un fallo en un contrato inteligente

SpankChain, un proyecto de Criptomonedas enfocado en la industria para adultos, sufrió una vulneración que provocó el robo de casi 40.000 dólares en Ethereum (ETH).

En unentrada de blog Publicado el martes, el equipo de SpankChain reveló el hackeo, indicando que se habían perdido 165,38 ETH (con un valor aproximado de $38,000 en ese momento) alrededor de las 18:00 PST del sábado. La intrusión, que según la publicación fue posible gracias a un error en el contrato inteligente del canal de pago de la red, también provocó la congelación de $4,000 en tokens BOOTY de SpankChain.

Al parecer, el proyecto tardó más de 24 horas en darse cuenta de que se había producido el ataque, y la publicación decía:

Desafortunadamente, mientras investigábamos otros errores de contratos inteligentes, no nos dimos cuenta del ataque hasta las 7:00 p. m. PST del domingo. En ese momento, desconectamos Spank.Live para evitar que se depositaran fondos adicionales en el contrato inteligente de los canales de pago.

De las criptomonedas robadas, $9,300 en ETH y BOOTY pertenecían a los usuarios, y el resto al proyecto. Según la entrada del blog, los reembolsos completos se enviarán directamente a las cuentas de SpankPay de los usuarios y estarán disponibles en cuanto reinicie Spank.Live.

SpankChain advirtió de un retraso de 2 a 3 días mientras sus desarrolladores solucionan el problema del hackeo, reimplementan un nuevo contrato inteligente y solucionan los demás problemas contractuales en los que ya se estaba trabajando. También se han establecido límites temporales al uso de tokens BOOTY.

Hasta el momento, dice el equipo, parece que el ataque se debió a un error de "reentrada", similar al que permitió que un hackeo importante del proyecto Cripto The DAO en 2016.

"El atacante creó un contrato malicioso que se hacía pasar por un token ERC20, donde la función de 'transferencia' invocaba el contrato del canal de pago varias veces, drenando ETH en cada intento", afirmó el equipo, y agregó que realizará una "investigación exhaustiva del ataque" en los próximos días.

SpankChain admitió además que había decidido no pagar una auditoría de seguridad para el contrato del canal de pago debido a los costos involucrados. Sin embargo, "teniendo en cuenta tanto el valor de percepción como el costo de oportunidad del tiempo empleado en reaccionar al ataque, habría valido la pena", dice la publicación.

La empresa concluyó comprometiéndose a mejorar sus prácticas de seguridad, "asegurándose de realizar múltiples auditorías internas para cualquier código de contrato inteligente que publiquemos, así como al menos una auditoría externa profesional".

Contenido para adultosimagen vía Shutterstock