Yuga Labs przeprowadziło 8 czerwca operację white-hat rescue, odzyskując z Flooring Protocol 68 NFT o wartości ponad $500,000 po tym, jak błąd księgowy w smart kontrakcie pozostawił pule płynności platformy podatne na wykorzystanie. Odzyskane aktywa obejmowały dwa CryptoPunks, 29 NFT Bored Ape Yacht Club i cztery NFT Mutant Ape Yacht Club, a także dodatkowe NFT z innych kolekcji zdeponowane w pulach frakcjonalizacji protokołu.

Luka

Flooring Protocol, platforma umożliwiająca frakcjonalizację NFT — dzielenie NFT o wysokiej wartości na wymienne, zbywalne części, aby użytkownicy mogli uzyskać ekspozycję na aktywa blue-chip bez konieczności ich bezpośredniego zakupu — zawierała błąd w logice księgowania i weryfikacji własności. Atakujący ustalił, że błąd pozwalał na emitowanie niemal nieograniczonych sald fpTokens — wewnętrznego tokena protokołu reprezentującego ułamkową własność NFT.

Exploit pozwalał przy użyciu symbolicznych ilości WETH systematycznie drenować pule płynności, tworząc stopniowy odpływ, który ostatecznie mógł pozbawić protokół jego najcenniejszych aktywów. Architekt Flooring Protocol, znany jako 0xFreeLunch, przyznał się do odpowiedzialności za lukę.

Jak przebiegało odzyskiwanie

Yuga Labs interweniowało, zanim atak mógł się dalej nasilić. Firma wdrożyła defensywny smart kontrakt, który zasadniczo odtwarzał mechanikę exploita — wykorzystując tę samą wadliwą logikę księgową do emitowania fpTokens i wydobywania NFT o wysokiej wartości z narażonych pul, zanim mogliby je przejąć złośliwi aktorzy. Takie podejście odpowiada utrwalonym praktykom white-hat w DeFi, w których badacze bezpieczeństwa i zespoły protokołów ścigają się z atakującymi, używając tej samej luki w sposób defensywny, aby przenieść zagrożone środki w bezpieczne miejsce.

Operacja zabezpieczyła 68 NFT z wielu kolekcji. Aktywa CryptoPunks, Bored Ape Yacht Club i Mutant Ape Yacht Club stanowiły najcenniejszą część odzyskanych zasobów.

Wszystkie odzyskane NFT pozostają pod pieczą Yuga Labs. Firma oświadczyła, że aktywa zostaną zwrócone prawowitym właścicielom, gdy Flooring Protocol załata podstawową lukę.

Szersze implikacje

Incydent z Flooring Protocol podkreśla utrzymujące się obawy dotyczące dojrzałości infrastruktury DeFi skoncentrowanej na NFT. Błędy księgowe — zwłaszcza pomyłki w sposobie, w jaki protokoły śledzą własność tokenów i uprawnienia do emisji — należą do najbardziej fundamentalnych kategorii podatności smart kontraktów i w ostatnich latach odpowiadały za kilka dużych exploitów w DeFi. Kompleksowe audyty przed wdrożeniem są projektowane właśnie po to, by identyfikować takie problemy, choć złożoność kompozycyjności między logiką własności NFT a emisją tokenów wymiennych nadal tworzy powierzchnie ataku, które mogą ujawnić się dopiero po uruchomieniu protokołów i zgromadzeniu przez nie realnej wartości.

Szybka reakcja Yuga Labs odzwierciedla bezpośredni interes finansowy i reputacyjny firmy w ochronie posiadaczy CryptoPunks i Bored Ape Yacht Club. Yuga Labs nabyło własność intelektualną CryptoPunks od Larva Labs w 2022.