Más de 1.2 millones de USD acuñados en un exploit del centro DeFi Acala de Polkadot

El centro de finanzas descentralizadas (DeFi) de Polkadot, Acala, sufrió un gran ataque en su grupo de liquidez recién lanzado el domingo. El exploit permitió al hacker acuñar más de 1.2 millones de dólares estadounidenses, la moneda estable del proyecto. 

Poco después del ataque, el equipo de Acala actualizó a los usuarios en Twitter y señaló que el exploit se originó a partir de una "configuración incorrecta del grupo de liquidez iBTC/aUSD". La mala configuración ahora se ha corregido, según el proyecto. 

Hemos identificado el problema como una configuración incorrecta del grupo de liquidez iBTC/aUSD (que se puso en marcha hoy) que resultó en errores de acuñación de una cantidad significativa de aUSD.
1/

-Acala (@AcalaNetwork) 14 de agosto de 2022

Acala suspende actividades en cadena

Datos en cadena revela que la mayoría de las monedas estables acuñadas todavía están en la cuenta de Acala. El atacante intercambió una pequeña fracción de las monedas estables por el token ACA nativo de Acala y otros cuatro tokens. En el momento de escribir este artículo, la cuenta tenía un valor de USD 1.27 millones, lo que representa más del 99 % de los tokens acuñados. 

Si bien la comunidad de Acala aún debe tomar una decisión final sobre el exploit, el equipo señaló que había suspendido las cuentas involucradas para que no transfirieran los tokens. 

Según el proyecto, las actividades en cadena, como los intercambios y los mensajes entre cadenas, también se han detenido para otros usuarios hasta nuevo aviso. El protocolo señaló que también se suspendió su paleta de Oracle, por lo que los usuarios no tienen que preocuparse por la liquidación forzosa. 

Mientras tanto, aUSD, el primera moneda estable en Polkadot, reaccionó negativamente al incidente y perdió su paridad USD. Después de caer casi un 50% a un precio comercial de $ 0.57, la moneda estable cotizaba a $ 0.89 en el momento de la publicación.

El ataque de Acala podría no ser el final

Aunque Acala ha subsanado la mala configuración de su piscina, el incidente se suma a la cantidad de aplicaciones descentralizadas (dApps) que han sido víctimas de piratas informáticos que siempre buscan errores de contratos inteligentes para explotar. 

Victor Young, el fundador de Analog, un proyecto basado en prueba de tiempo (PoT) de capa 0, comentó sobre el truco de Acala y señaló que Polkadot es "seguro por diseño" debido a su cadena de retransmisión, pero lo mismo no puede ser dicho acerca de parachains 

Dijo que tales explotaciones de dApp podrían ocurrir en el futuro si los desarrolladores de contratos inteligentes no verifican regularmente sus códigos. 

“Desde mi punto de vista, seguiremos viendo más de estos ataques porque muchos desarrolladores de dApp no ​​se esfuerzan al definir las propiedades de seguridad de su código. Incluso si se audita el contrato inteligente, es posible que el código no sea infalible. En este sentido, los desarrolladores y los expertos en control de calidad deben evaluar continuamente para garantizar que el código logre sus objetivos”, dijo.