Het gedecentraliseerde financiëringsprotocol (DeFi), Curve Finance genaamd, heeft een beloningsprogramma ingesteld voor het opsporen van bugs.
Deze beloning wordt aangeboden aan iedereen die de persoon kan identificeren die verantwoordelijk is voor het ongeoorloofd wegnemen van meer dan $61 miljoen uit de pools van het protocol op 30 juli.
Bugbounty van 10%
Op 3 augustus boden Curve en andere getroffen protocollen de hacker een bugbounty van 10% aan, wat neerkomt op meer dan $6 miljoen. Als de hacker het aanbod accepteerde, heeft hij de gestolen activa teruggestuurd naar Alchemix en JPEGd, maar heeft hij geen restituties gedaan aan andere aangetaste pools. Nu de deadline is verstreken, wordt degene die de aanvaller kan identificeren beloond met activa ter waarde van $1,85 miljoen.
De termijn voor de vrijwillige teruggave van fondsen in verband met de Curve-exploit verliep om 08:00 UTC. Nu wordt de beloning van 10% van de resterende geëxploiteerde fondsen (momenteel $1,85 miljoen USD) aangeboden aan de persoon die de dader van de exploitatie kan identificeren en die bijdraagt aan een veroordeling door de rechtbank. Het on-chain bericht luidt als volgt: “Als de uitbuiter ervoor kiest om het geld volledig terug te geven, zullen we geen verdere juridische stappen ondernemen.”
“Ik wil jullie project niet ruïneren”
Vóór het teruggeven van het geld plaatste de aanvaller een bericht dat leek te zijn gericht aan de teams van Alchemix en Curve. In dit bericht beweerde de aanvaller dat hij bereid was het geld terug te geven, niet omdat hij bang was om gevonden te worden, maar omdat hij niet wilde dat zijn acties de betrokken projecten zouden schaden. Het on-chain bericht luidde als volgt: “Mijn terugbetaling is niet omdat jullie me kunnen opsporen, maar omdat ik jullie project niet wil ruïneren.”
De aanval vond plaats op 30 juli en resulteerde in het leeghalen van meer dan $61 miljoen aan cryptocurrencies uit de Curve-pools. Deze omvatten onder andere $13,6 miljoen aan alETH-ETH van Alchemix, $11,4 miljoen aan pETH-ETH van JPEGd en $1,6 miljoen aan sETH-ETH van Metronome. De hacker richtte zich op stabielecoin-pools door gebruik te maken van kwetsbaarheden in oudere versies van de Vyper-programmeertaal via herintredingsaanvallen.
De exploit onthulde als slot kwetsbaarheden in verschillende DeFi-projecten en resulteerde in inspanningen gedurende de afgelopen week om gestolen fondsen binnen het hele ecosysteem terug te halen.
Het bericht Curve Finance opent bugbounty nadat retourdeadline van de uitbuiter verstreken is verscheen eerst op Newsbit.