La società di sicurezza blockchain SlowMist ha segnalato una presunta perdita di circa 86.000 dollari in token UNCX, presumibilmente collegata a un difetto nella logica di cancellazione del contratto VestingManager del protocollo. Il report attribuisce l'incidente a una vulnerabilità nel modo in cui i piani di vesting possono essere cancellati. Tuttavia, le informazioni disponibili non includono dettagli di transazione verificati in modo indipendente, un indirizzo dell'attaccante confermato o una risposta ufficiale del team del progetto UNCX.

SlowMist segnala una perdita di 86.000 dollari in token UNCX

Secondo l'avviso di SlowMist, la perdita segnalata ha coinvolto il token UNCX ed era collegata a un problema relativo alla cancellazione nel componente VestingManager del protocollo. SlowMist monitora l'attività on-chain e il comportamento degli smart contract su più reti e ha pubblicato il report nell'ambito della propria attività di monitoraggio della sicurezza.

La cifra di 86.000 dollari compare nell'avviso di SlowMist come importo stimato della perdita. La ricerca disponibile non include un hash di transazione da block explorer, un indirizzo wallet o dati on-chain che confermino in modo indipendente la cifra. L'importo deve quindi essere trattato come riportato e non come verificato.

SlowMist ha precedentemente segnalato problemi simili a livello di contratto. Questi includono una perdita riportata di 5,08 ETH legata a un problema di calcolo nella funzione actualizeFee di Set Protocol. La società ha inoltre identificato in precedenza un problema in un Aave v3 Loop Safe Module che avrebbe comportato una perdita di 114,09 ETH. In tali casi, gli avvisi di SlowMist fungono da avvertimenti tempestivi in attesa di ulteriori conferme dai progetti interessati.

Il presunto difetto di cancellazione del VestingManager

I contratti di gestione del vesting regolano il rilascio di token ai beneficiari secondo un calendario definito. Tali contratti sono un componente standard dell'infrastruttura della finanza decentralizzata, comunemente utilizzati per automatizzare le distribuzioni di token a team, investitori e community, e le funzioni di cancellazione esistono generalmente affinché i calendari possano essere terminati a condizioni definite prima del rilascio completo. Le funzioni di cancellazione in questi contratti possono creare rischi per la sicurezza se non sono adeguatamente limitate o validate.

Il report di SlowMist collega la presunta perdita di token UNCX a un difetto nella logica di cancellazione di un contratto VestingManager associato al token UNCX. Le informazioni disponibili non identificano una funzione specifica, un percorso di codice o una sequenza di exploit.

La ricerca non stabilisce nemmeno se il presunto difetto abbia coinvolto controlli inadeguati, una condizione di reentrancy o un'ing dei token calcolato in modo errato durante la cancellazione. Questi dettagli tecnici verrebbero in genere affrontati in un post-mortem formale o in un report di audit, ma nessuno dei due è stato menzionato nell'avviso attuale.

Implicazioni per i detentori di UNCX e per gli utenti del protocollo

Il token UNCX è associato alla piattaforma di finanza decentralizzata UniCrypt, che fornisce servizi di vesting di token e blocco di liquidità. I fornitori di vesting e locking operano tipicamente un'infrastruttura condivisa che serve molti progetti di token contemporaneamente, quindi un difetto non confermato in un singolo componente di vesting può riguardare qualsiasi progetto o beneficiario che si affidi agli stessi contratti. Una vulnerabilità in un contratto relativo al vesting sarebbe direttamente rilevante per i progetti e gli individui che si affidano al VestingManager di UniCrypt per la distribuzione dei token.

Gli utenti e i team di progetto dovrebbero monitorare i canali ufficiali di UniCrypt e SlowMist per la conferma della vulnerabilità segnalata e per informazioni su eventuali misure di risoluzione. Gli sviluppi da monitorare includono un record on-chain che confermi la stima di 86.000 dollari, un post-mortem formale o un report di audit che identifichi il percorso di codice interessato e una dichiarazione ufficiale del team UNCX che descriva eventuali patch o modifiche al contratto. Le informazioni disponibili non includono un esito del recupero, il rilascio di una patch o una dichiarazione ufficiale del team del progetto UNCX.

Fino alla pubblicazione di una risposta formale, sia la perdita riportata di 86.000 dollari che la presunta causa devono essere trattate come non confermate. I lettori dovrebbero verificare i dettagli tramite gli avvisi pubblicati da SlowMist e ogni successiva divulgazione del team UNCX prima di trarre conclusioni sullo stato di sicurezza attuale del protocollo.

Fonte: https://www.coinwy.com/slowmist-reported-86000-uncx-token-loss-vestingmanager-flaw

Riferimenti aggiuntivi: source document 1, source document 2.

Disclaimer: Questo articolo ha finalità esclusivamente informative e non costituisce consulenza finanziaria o di investimento. I mercati delle criptovalute e degli asset digitali comportano rischi significativi. Effettuate sempre le vostre ricerche prima di prendere decisioni.