Un hacker di criptovalute ha restituito 40,5 milioni di dollari in beni digitali rubati alla piattaforma di trading decentralizzata GMX entro 48 ore dall'attacco, accettando un pagamento di ricompensa di circa 4,5 milioni di dollari in quella che gli esperti di sicurezza descrivono come una risoluzione insolitamente rapida di un grave exploit blockchain.
Cosa sapere:
- L'hacker ha sfruttato gli smart contract di GMX il 9 luglio, rubando circa 42 milioni di dollari attraverso un attacco di re-entrancy che ha manipolato i prezzi dei token
- GMX ha offerto una ricompensa del 10% "white hat" senza conseguenze legali se i fondi fossero stati restituiti entro 48 ore
- L'attaccante ha mantenuto circa 4,5 milioni di dollari come pagamento di ricompensa restituendo i restanti 40,5 milioni di dollari in criptovalute
Sfruttamento tecnico rivela una vulnerabilità dello smart contract
L'attacco ha preso di mira il protocollo Versione 1 di GMX attraverso un sofisticato exploit di re-entrancy che ha sfruttato un'architettura di smart contract difettosa. Secondo un rapporto postmortem di GMX, l'hacker ha manomesso una funzione del contratto che non impediva chiamate multiple all'interno della stessa operazione.
Questa vulnerabilità tecnica ha permesso all'attaccante di gonfiare artificialmente il prezzo del GLP, il token del fornitore di liquidità di GMX.
L'exploit ha permesso al criminale di effettuare più chiamate all'interno di una funzione, causando un calcolo errato dei bilanci del contratto e facilitando il furto di vari beni digitali.
Le criptovalute rubate includevano Wrapped Bitcoin (WBTC), Legacy Frax Dollar (FRAX) e stablecoin DAI. Successivamente, l'hacker ha trasferito i fondi dalla rete Arbitrum alla mainnet di Ethereum. Tutti i beni, tranne il FRAX, sono stati convertiti in 11.700 token ETH.
Negoziazione rapida porta a una restituzione senza precedenti
Il team di sicurezza di GMX ha risposto rapidamente alla violazione inserendo un messaggio on-chain che offriva una ricompensa white hat del 10%. La proposta includeva una scadenza di 48 ore e garantiva che contro l'autore non sarebbero state intraprese azioni legali.
La risposta dell'hacker è arrivata attraverso un messaggio sulla blockchain: "Ok, i fondi verranno restituiti più tardi." Il processo di restituzione è partito con 10,49 milioni di dollari in token FRAX inviati direttamente all'indirizzo GMX Security Committee Multisig.
I restanti 32 milioni di dollari, precedentemente convertiti in ETH, sono stati restituiti in più tranche. A causa dell'apprezzamento del prezzo di Ethereum durante l'incidente, le partecipazioni in ETH hanno visto un incremento a 35 milioni di dollari in valore. L'hacker ha trattenuto i 3 milioni di dollari di profitto dalle oscillazioni di prezzo restituendo l'importo originale del furto.
Ripristino della piattaforma e risposta del mercato
GMX ha confermato che la sua più recente Versione 2 del protocollo è rimasta inalterata dalla vulnerabilità che ha permesso l'attacco. La piattaforma ha da allora rimosso i limiti di conio sui token di liquidità per GMX V2, operante sia sulle reti Arbitrum che Avalanche.
Il token nativo di GMX si è ripreso dalle perdite iniziali a seguito della notizia della restituzione dei fondi. I dati di mercato di CoinMarketCap hanno indicato un incremento del valore di trading di oltre il 13%.
Gli analisti di sicurezza hanno osservato che l'incidente mette in evidenza i rischi continui nei protocolli di finanza decentralizzata, dimostrando al contempo l'efficacia potenziale dei programmi di ricompensa nel incoraggiare la restituzione volontaria dei fondi.
Considerazioni finali
L'incidente GMX rappresenta un raro caso in cui un furto importante di criptovalute ha portato a una restituzione volontaria dei fondi tramite negoziazione di ricompensa. Il recupero di 40,5 milioni di dollari, facilitato dall'offerta di ricompensa del 10% di GMX, dimostra un approccio alternativo per affrontare le violazioni della sicurezza blockchain oltre ai rimedi legali tradizionali.