Yuga Labs voerde op 8 juni een white-hat reddingsoperatie uit, waarbij 68 NFT's met een gezamenlijke waarde van meer dan $500.000 werden teruggehaald uit Flooring Protocol nadat een boekhoudbug in een smart contract de liquiditeitspools van het platform kwetsbaar maakte voor exploitatie. De teruggehaalde activa omvatten twee CryptoPunks, 29 Bored Ape Yacht Club NFT's en vier Mutant Ape Yacht Club NFT's, naast aanvullende NFT's uit andere collecties die in de fractionalisatiepools van het protocol waren gestort.

Het Beveiligingslek

Flooring Protocol, een platform dat NFT-fractionalisatie mogelijk maakt — het opsplitsen van waardevolle NFT's in verhandelbare fracties zodat gebruikers blootstelling aan blue-chip activa kunnen krijgen zonder deze volledig aan te schaffen — bevatte een fout in de boekhoud- en eigendomsverificatielogica. Een aanvaller ontdekte dat de bug het mogelijk maakte om vrijwel onbeperkte hoeveelheden fpTokens te minten — de interne token van het protocol die fractioneel NFT-eigendom vertegenwoordigt.

De exploit maakte het mogelijk om met minimale hoeveelheden WETH systematisch liquiditeitspools leeg te trekken, wat resulteerde in een geleidelijke extractie die het protocol uiteindelijk van zijn meest waardevolle activa had kunnen beroven. De architect van Flooring Protocol, bekend onder de naam 0xFreeLunch, erkende de verantwoordelijkheid voor het beveiligingslek.

Hoe de Redding Verliep

Yuga Labs greep in voordat de aanval verder kon escaleren. Het bedrijf implementeerde een defensief smart contract dat in feite de mechaniek van de exploit repliceerde — gebruikmakend van dezelfde foutieve boekhoudlogica om fpTokens te minten en hoogwaardige NFT's uit de blootgestelde pools te extraheren voordat kwaadwillende partijen deze konden opeisen. Deze aankomst sluit aan bij gevestigde white-hat praktijken in DeFi, waarbij beveiligingsonderzoekers en protocolteams proberen aanvallers voor te zijn door dezelfde kwetsbaarheid defensief in te zetten om risicovolle tegoeden in veiligheid te brengen.

De operatie leverde 68 NFT's op verspreid over meerdere collecties. De CryptoPunks, Bored Ape Yacht Club en Mutant Ape Yacht Club activa vertegenwoordigden het meest waardevolle segment van de teruggehaalde activa.

Alle teruggehaalde NFT's blijven in bewaring bij Yuga Labs. Het bedrijf heeft aangegeven dat de activa zullen worden teruggegeven aan hun rechtmatige eigenaren zodra Flooring Protocol het onderliggende beveiligingslek heeft gepacht.

Brede Implicaties

Het incident met Flooring Protocol onderstreept de voortdurende zorgpunten over de volwassenheid van op NFT's gerichte DeFi-infrastructuur. Boekhoudbugs — in het bijzonder fouten in de manier waarop protocollen tokeneigendom en mintbevoegdheid bijhouden — behoren tot de meest fundamentele categorieën van smart-contractkwetsbaarheden en hebben in recente jaren voor verschillende grote DeFi-exploits gezorgd. Grundige audits vóór implementatie zijn specifiek ontworpen om dergelijke problemen op te sporen, al blijft de complexiteit van de samenhang tussen NFT-eigendomslogica en het minten van fungibele tokens aanvalsoppervlakken bieden die pas aan het licht kunnen komen wanneer protocollen live zijn en echte waarde bevatten.

De snelle reactie van Yuga Labs weerspiegelt het directe financiële en reputatiebelang van het bedrijf bij de bescherming van CryptoPunks- en Bored Ape Yacht Club-houders. Yuga Labs verwierf de intellectuele eigendomsrechten van CryptoPunks bij Larva Labs in 2022.