Un atacante drenó aproximadamente $437,000 en colateral de seis bóvedas de Premia en Arbitrum mediante dos transacciones ejecutadas con un segundo de diferencia a finales del 31 de octubre, según datos onchain y una alerta emitida por la firma de seguridad blockchain Blockaid.

Las dos transacciones se ejecutaron a las 11:15:39 p.m. y 11:15:40 p.m., hora del Este, el 31 de octubre. La estimación de la pérdida se calculó a partir de los flujos netos de tokens utilizando los precios mostrados por Arbiscan alrededor de las 12:16 a.m. ET del 1 de noviembre, en lugar de los precios históricos de ejecución de las transacciones.

Las bóvedas pierden colateral en Bitcoin, Ether, USDC y ARB

Los flujos netos combinados de las seis bóvedas afectadas totalizaron 3.64410382 WBTC, aproximadamente 43.47 WETH, 48,479.36 USDC puenteado (USDC.e) y 46,215.43 ARB. Con base en los precios utilizados en el análisis, el valor estimado en dólares de estos activos alcanzó aproximadamente $437,000.

Las instantáneas posteriores al incidente mostraron que algunas bóvedas retuvieron casi nada de colateral en sus saldos directos. La bóveda de call de WBTC conservó solo 0.0008738 WBTC, mientras que la bóveda de call de WETH tenía aproximadamente 0.0373 WETH restantes.

Otras bóvedas afectadas también mostraron activos limitados en tenencia directa. La bóveda de call de ARB retuvo aproximadamente 160.89 ARB, mientras que las bóvedas de put de WETH, WBTC y ARB mantenían aproximadamente 125.73, 88.54 y 45.22 USDC.e, respectivamente.

Estas cifras reflejan los activos mantenidos directamente en las bóvedas después de las transacciones. No incluyen la valoración de las posiciones de opciones pendientes, lo que significa que los saldos restantes de tokens por sí solos no establecen la posición financiera completa de cada bóveda.

Blockaid advierte que el ataque seguía en curso

Blockaid emitió una alerta a las 12:13 a.m. ET del 1 de noviembre con el mensaje: "Attack still ongoing" (el ataque sigue en curso). La advertencia reflejó la evaluación de la firma al momento de publicar la alerta y no confirma de manera independiente si el incidente continuó después.

Las transferencias reportadas fueron analizadas utilizando la actividad onchain mostrada por Arbiscan. Los registros de transacciones mostraron colateral moviéndose entre la bóveda de Balancer, las bóvedas de Premia, los pools de opciones y el contrato del ataque, con los fondos devueltos a Balancer como parte de la secuencia de transacciones.

Cómo funcionó el exploit en las bóvedas de Premia

La documentación de las bóvedas de underwriting de Premia describe un sistema en el que los depositantes agrupan colateral para respaldar opciones de compra (call) y de venta (put). Los compradores de opciones pagan primas, mientras que los depositantes reciben acciones que representan su participación en la bóveda.

Según Blockaid, el atacante creó pools de opciones vacíos, obtuvo flash loans y compró opciones que provocaron que el colateral de las bóvedas quedara bloqueado en esos pools. Luego, el atacante retiró el colateral como liquidez, lo que permitió que los activos destinados a respaldar las opciones fueran extraídos de las bóvedas afectadas.

La secuencia de transacciones onchain proporcionó más detalles sobre cómo se movieron los fondos. En la primera transacción de drenaje, la bóveda de Balancer transfirió WBTC, WETH y USDC.e al contrato del ataque. Posteriormente, las bóvedas de Premia movieron colateral hacia los pools de opciones, los cuales enviaron los tokens al contrato del ataque antes de que este repagara a Balancer.

Una transacción de configuración independiente, realizada antes de las dos transacciones de drenaje, creó los seis contratos de pools de opciones involucrados en la operación. La secuencia vincula la creación de los pools, los movimientos de colateral y las transferencias posteriores al contrato del ataque.

Alcance de la estimación de pérdidas

La cifra estimada de $437,000 representa los flujos netos de colateral calculados utilizando la instantánea de precios de Arbiscan descrita anteriormente. La información disponible no establece el valor histórico de ejecución de cada activo transferido, ni proporciona un conteo final de pérdidas adicionales.

Fuente: The Defiant