Atualizado em 08/02/2023 por Ana Luiza
A CoW Swap, uma exchange descentralizada (DEX), sofreu um ataque cibernético que resultou na perda de mais de US$ 180.000 em ativos. Em termos de conversão para reais, isso equivale a cerca de R$ 920 mil, com base na taxa de câmbio atual. A CoW Swap é uma plataforma que visa oferecer aos seus usuários os melhores preços em exchanges descentralizadas, agregando as informações de várias DEXs em um único local.
PeckShield e BlockSec, empresas de segurança, relataram que um invasor explorou uma falha no contrato inteligente GPv2Settlement de liquidação comercial para esvaziar os fundos da DEX.
A PeckShield estimou que o invasor obteve aproximadamente US$ 180.000 em DAI da CoW Swap. O hacker, então, transferiu esses ativos para o Tornado Cash, um mixer de criptomoedas, ganhando 551 BNB.
Ataque hack rouba diversos ativos da CoW Swap
A PeckShield explicou que o invasor parece ter enganado o dono do contrato GPv2Settlement para autorizar o uso do SwapGuard, o que normalmente não é permitido. O SwapGuard é um contrato secundário utilizado pela CoW Swap para ajudar e validar o resultado da troca.
Um representante da BlockSec informou ao The Block que há uma funcionalidade no contrato SwapGuard que permite transferir fundos para qualquer endereço. O invasor acessou essa funcionalidade pública para transferir o DAI para sua própria carteira.
A equipe da CoW Swap afirmou que o contrato de liquidação explorado apenas tem acesso às taxas cobradas pelo protocolo em uma semana, então o invasor não conseguiu acessar diretamente os fundos dos usuários.
A DEX tuitou: “Os usuários não precisam cancelar as autorizações! O contrato de liquidação da CoW Swap apenas armazena as taxas acumuladas pelo protocolo durante a semana. Sem fornecer um pedido assinado pelo usuário e oferecer-lhes pelo menos o valor de compra limitado em troca, ele não pode acessar diretamente os fundos do usuário.”
A Cow Swap respondeu ao ataque imediatamente revogando todas as autorizações para o contrato afetado. Eles também atualizaram para um novo contrato sem a capacidade de executar código arbitrário. A equipe tranquilizou os usuários de que seus fundos nunca estiveram em perigo, pois a Cow Swap não possui fundos dos usuários.
Conheça a CoW Swap
A CoW Swap é diferente de DEXs convencionais, pois não requer que os usuários façam negociações por conta própria. Ao invés disso, os usuários assinam um acordo de comércio para trocarem dois tokens pelo preço especificado.
De acordo com o Dapp Radar, a CoW Swap processou $61 milhões em negociações nas últimas 24 horas, classificando-a como a 11ª maior DEX em volume, segundo a CoinGecko.
Até o momento da redação desta matéria não houve qualquer outra atualização a respeito da recuperação dos fundos que foram hackeados.