El protocolo DeFi Convergence fue atacado por un hack el 1 de agosto, cuando su equipo eliminó una sola línea de código para optimizar las tarifas de gas para los usuarios. Un hacker notó la eliminación del código y aprovechó para acuñar y extraer $210,000 en tokens y $2000 en recompensas de staking.
La empresa de seguridad y análisis de blockchain PeckShield recurrió a X para informar sobre el suceso: «Parece que @Convergence_fi acaba de ser explotado (con una pérdida de ~$210k) para acuñar 58 millones de $CVG (58,718,395.05681812), que se cambiaron a 60 WETH y 15,9k crvFRAX».
Se acuñaron 58 millones de tokens CVG, nativos de Convergence, y se volcaron en los pools de CVG para ejecutar el robo. Desde entonces, el token ha perdido el 99% de su valor. El contrato en cuestión, CvxRewardDistributor, fue auditado cuatro veces anteriormente. Las alteraciones del código se produjeron después de las múltiples auditorías, eliminando un mecanismo crucial de validación de contratos. Eso permitió al pirata informático agregar un contrato malicioso propio, que acuñó los tokens con los que se escapó.
En un informe posterior al ataque publicado por el fundador seudónimo del protocolo, Wireshark, se puede leer: “La seguridad siempre ha sido una preocupación para nosotros, y Convergence Finance ha sido auditado cuatro veces por diferentes empresas”. Y añaden: “Sin embargo, modificamos esta parte del código después de la auditoría. La modificación (la optimización del gas, en primer lugar) nos llevó a eliminar la línea de código que verificaba la entrada proporcionada a la función”.
También aceptaron toda la responsabilidad por el problema y pidieron disculpas a su comunidad de usuarios, seguidores e inversores. Además, aseguraron a los usuarios que sus fondos estaban seguros, pero les pidieron que retiraran sus activos debido a la falla en la implementación del staking.
“Debido al exploit, el contrato de recompensas para la integración de Stake DAO está actualmente roto. Se solucionará y los participantes podrán reclamar sus recompensas una vez que esté hecho. Los usuarios de la integración de Stake DAO no pierden ninguna recompensa”.
