SpankChain perde $ 40 mil em hack devido a bug de contrato inteligente

SpankChain, um projeto de Criptomoeda focado no setor adulto, sofreu uma violação que resultou no roubo de quase US$ 40.000 em Ethereum (ETH).

Em umpostagem de blog publicado na terça-feira, a equipe do SpankChain divulgou o hack, dizendo que 165,38 ETH (no valor de cerca de US$ 38.000 na época) foram perdidos por volta das 18:00 PST no sábado. A intrusão, que a postagem disse ter sido possível devido a um bug no contrato inteligente do canal de pagamento da rede, também fez com que US$ 4.000 no token BOOTY do SpankChain fossem congelados.

Aparentemente, levou mais de 24 horas para o projeto perceber que o hack havia ocorrido, com a postagem afirmando:

"Infelizmente, enquanto estávamos investigando outros bugs de contrato inteligente, T percebemos que o hack havia ocorrido até as 19h PST de domingo, quando tiramos o Spank.Live do ar para evitar que fundos adicionais fossem depositados no contrato inteligente dos canais de pagamento."

Das criptos roubadas, US$ 9.300 em ETH e BOOTY pertenciam aos usuários, e o restante ao projeto. De acordo com a postagem do blog, os reembolsos integrais serão "enviados diretamente para as contas SpankPay dos usuários, e estarão disponíveis assim que reiniciarmos o Spank.Live."

A SpankChain alertou sobre um atraso de 2–3 dias à frente enquanto seus desenvolvedores corrigem o problema por trás do hack, reimplementam um novo contrato inteligente e consertam os outros problemas de contrato que já estavam sendo trabalhados. Limites no uso de tokens BOOTY também foram colocados em prática temporariamente.

Até agora, diz a equipe, parece que o ataque foi devido a um bug de "reentrada", semelhante ao que permitiu que um grande hack do projeto de Cripto DAO em 2016.

"O invasor criou um contrato malicioso disfarçado de token ERC20, onde a função de 'transferência' retornou ao contrato do canal de pagamento diversas vezes, drenando alguns ETH a cada vez", disse a equipe, acrescentando que realizará uma "investigação aprofundada do ataque" nos próximos dias.

A SpankChain admitiu ainda que decidiu não pagar por uma auditoria de segurança para o contrato do canal de pagamento devido aos custos envolvidos. No entanto, "levando em consideração tanto o valor da percepção quanto o custo de oportunidade do tempo gasto reagindo ao hack, teria valido a pena", diz a publicação.

A empresa concluiu prometendo que melhoraria suas práticas de segurança, "garantindo várias auditorias internas para qualquer código de contrato inteligente que publicamos, bem como pelo menos uma auditoria externa profissional".

Conteúdo adultoimagem via Shutterstock