UwU Lend, un protocolo de préstamos criptográficos, fue explotado dos veces en tres días y el atacante se llevó alrededor de 23,7 millones de dólares. El primer ataque se produjo el 10 de junio, y el atacante se llevó 20 millones de dólares en criptomonedas de la plataforma. El ataque de hoy provocó una pérdida adicional de alrededor de 3,7 millones de dólares.
El segundo exploit fue una extensión del primero, ya que todavía les quedaban fondos en el protocolo, que retiraron menos de tres días después del primer incidente. Básicamente, el atacante realizó un exploit de préstamo rápido que le permitió aprovechar un error en la plataforma y manipular los precios de los activos. Intercambiaron Ethena USDe (USDE) por otros tokens, lo que redujo el USDE y el Staked Ethena USDe (SUSDE) en los pools de la plataforma.
Luego, procedieron a extraer los tokens SUSDE con descuento depositando otros activos como garantía para tomarlos prestados. En este proceso, el precio de SUSDE aumentó rápidamente, lo que el atacante aprovechó al depositar el SUSDE prestado para tomar prestadas cantidades superiores a las posibles de tokens CURVE DAO (CRV). Este método se utilizó para drenar fondos de UwU Lend por millones.
La plataforma acababa de reembolsar a sus usuarios que sufrieron pérdidas debido al exploit del 10 de junio alrededor de 9,7 millones de dólares hoy. Unas horas después de los reembolsos, el atacante volvió a desviar 3,7 millones de dólares de la plataforma. CertiK, la plataforma de ciberseguridad blockchain, afirmó que el atacante estaba retirando fondos a los que ya habían tenido acceso hace tres días.
Convirtieron los activos que obtuvieron de la plataforma de préstamos en ambas ocasiones a ETH y enviaron los fondos a su dirección: 0x841dDf093f5188989fA1524e7B893de64B421f47. La dirección estaba vinculada a los retiros de ambos exploits, explicando que era el mismo actor detrás de ambos incidentes. Aprovecharon una vulnerabilidad en un contrato de Oracle vinculado a los precios del USDE.
Imagen de Darwin Laganzón en Pixabay
