Un hacker ha sottratto circa 86.000 dollari dal pool condiviso di token vesting di UNCX Network su Ethereum mercoledì, prelevando token che altri progetti avevano bloccato. La società di sicurezza Blockaid ha spiegato in dettaglio che l’attacco è ancora in corso.
UNCX, precedentemente UniCrypt, offre ai progetti crypto un metodo per bloccare i propri token, impedendo così agli insider di venderli in anticipo. I suoi contratti detengono circa 179,7 milioni di dollari attraverso diverse blockchain, di cui 111,4 milioni di dollari su Ethereum.
Come ha fatto l’attaccante a prelevare i token appartenenti ad altri?
Blockaid ha spiegato in dettaglio che la perdita è avvenuta tramite una singola transazione di prelievo. I token bloccati di molti progetti sono custoditi insieme nello stesso pool.
L’attaccante ha prima aperto diverse posizioni di vesting all’interno del pool. Una posizione di vesting è uno slot che contiene dei token e li rilascia secondo una precisa tempistica.
Successivamente, l’attaccante ha rilasciato una grossa posizione e inviato ulteriori token nel pool. Poi ha annullato una posizione che era stata ricaricata.
Questa operazione ha lasciato solo una piccolissima posizione residua. Secondo Blockaid, questo piccolo slot poteva poi prelevare token appartenenti ad altri utenti.
La stessa guida di UNCX descrive i token vestiti come bloccati a tempo all’interno di un contratto sottoposto ad audit.
“non possono essere inviati, venduti, aggiunti in liquidità o messi in staking,” si legge in un estratto della guida qui.
Blockaid ha identificato due wallet degli hacker. Etherscan mostrava che uno di questi deteneva circa 5.874 dollari attraverso otto transazioni.
Perché una perdita di 86.000 dollari è ancora importante per i piccoli progetti
Al momento della pubblicazione, UNCX non aveva rilasciato ancora una dichiarazione pubblica sull’exploit subito.
Il token della piattaforma è rimasto quasi invariato. UNCX Network (UNCX) è stato scambiato a 24,80 dollari, con una crescita dello 0,16% in 24 ore, secondo i dati di BeInCrypto. La sua capitalizzazione totale di mercato si posiziona vicino a 905.000 dollari.
Anche le perdite di entità ridotta possono affossare un progetto. Il DEX Full Sail ha chiuso i battenti dopo un hack che lo scorso agosto è costato circa 91.000 dollari.
Anche codice più datato è stato colpito. Notional Finance ha perso 1,73 milioni di dollari a settembre a causa di un bug di integer overflow nei contratti legacy.
I token locker esistono perché gli acquirenti possano verificare che gli insider non vendano l’offerta in anticipo. Resta da capire quali progetti abbiano perso i token e se UNCX riuscirà a bloccare il pool prima di ulteriori prelievi.
