Een hacker heeft ongeveer $86.000 uit de gedeelde token-vestingpool van UNCX Network op Ethereum gehaald op woensdag. Hierbij werden tokens meegenomen die andere projecten hadden opgesloten. Securitybedrijf Blockaid zei dat de aanval nog steeds bezig was.
UNCX, eerder bekend als UniCrypt, verkoopt een manier voor crypto-projecten om hun eigen tokens vast te zetten zodat interne mensen niet vroegtijdig kunnen verkopen. De contracten van UNCX houden ongeveer $179,7 miljoen vast op verschillende blockchains, waarvan $111,4 miljoen op Ethereum.
Hoe heeft de aanvaller tokens van anderen kunnen opnemen
Blockaid meldde dat het verlies is ontstaan door één enkele draining-transactie. Veel projecten hebben hun vastgezette tokens samen in dezelfde pool zitten.
De aanvaller heeft eerst meerdere vestingposities geopend. Een vestingpositie is een plek waar tokens worden vastgehouden en volgens een vast schema worden vrijgegeven.
Daarna heeft de aanvaller één grote positie vrijgegeven en extra tokens in de pool gestuurd. Vervolgens werd een positie die was aangevuld weer geannuleerd.
Deze actie liet een kleine positie over. Volgens Blockaid kon via dat kleine overgebleven slot tokens van andere gebruikers opgenomen worden.
In de eigen handleiding van UNCX worden vastgezette tokens omschreven als tijdsgebonden in een geaudit contract.
“kunnen niet verzonden, verkocht, toegevoegd aan liquiditeit of gestaked worden,” staat in een fragment uit de handleiding te lezen.
Blockaid noemde twee exploiter-wallets. Op Etherscan was te zien dat één daarvan ongeveer $5.874 bevatte verspreid over acht transacties.
Waarom een verlies van $86.000 toch belangrijk is voor kleine projecten
UNCX had bij publicatie nog geen openbaar statement geplaatst over de UNCX-aanval.
De eigen token van het platform reageerde nauwelijks. UNCX Network (UNCX) handelde op $24,80, een stijging van 0,16% in 24 uur, volgens data van BeInCrypto. De totale marktkapitalisatie ligt rond $905.000.
Kleine verliezen kunnen alsnog het einde van een project betekenen. Gedecentraliseerde exchange Full Sail ging dicht na een hack in augustus waarbij het zo’n $91.000 verloor.
Ook oudere contractcode is slachtoffer geweest. Notional Finance verloor $1,73 miljoen door een integer overflow-bug in oude contracten in september.
Token lockers bestaan zodat kopers kunnen controleren dat insiders hun tokens niet ineens kunnen dumpen. De grote vragen zijn nu welke projecten tokens verloren zijn en of UNCX de pool kan stoppen voordat meer wordt opgenomen.
