Ten token zaliczył zjazd 90% w kilkadziesiąt minut. Miliony wyparowały – co się stało?

Wystarczyła godzina, by wartość tokena Kinto spadła z 7,69 dolara do 0,50 dolara. 90% zniknęło w mgnieniu oka, a razem z nimi około 13 milionów dolarów kapitalizacji rynkowej. Co doprowadziło do tak spektakularnej katastrofy? Wszystko przez błąd, który przez lata tkwił cicho w dobrze znanym standardzie smart kontraktów, aż ktoś go… niechcący nagłośnił.

Token Kinto poszedł z dymem. 90% w dół po ataku przez tylną furtkę, miliony zniknęły w godzinę

Na początku lipca ktoś wykorzystał lukę w standardzie ERC1967Proxy, używanym przez tysiące projektów DeFi. Bug ten pozwalał hakerom na przejęcie kontroli nad kontraktem przez umieszczenie złośliwego administratora. I robienie, co się tylko chce. W tym przypadku: wybicie 110 tysięcy tokenów K.

Co jest w tym wszystkim najgorsze? Wiele wskazuje na to, że zespół Kinto nie został na czas ostrzeżony o podatności na atak, mimo że inni wiedzieli o tym wcześniej. „Kinto nie zostało powiadomione na czas. Nawet po tym, jak inne zespoły już wiedziały” – przyznał współzałożyciel Ramon Recuero w rozmowie z The Defiant.

Projekt podupadł, ale przetrwał – zarzeka się założyciel

Choć token K poleciał na dno, Recuero zarzeka się, że sam projekt przetrwał. I że absolutnie nie wszystko jest stracone. „Sieć Kinto, aktywa i portfel nie zostały naruszone i są całkowicie bezpieczne” – zapewnia. Wskazał również, że za atakiem nie stała luka w ich kodzie, ale dziura w „fundamentalnej bibliotece OpenZeppelin”, używanej przez branżę od 10 lat. Problem pogłębił się przez błąd w przeglądarkach blockchainowych takich jak Etherscan czy Arbiscan, które nie wykrywały zmian w administracji kontraktów.

„To moja wina i biorę za to pełną odpowiedzialność” – dodał Recuero, odnosząc się do skali strat. Na Twitterze pojawiły się jednak krytyczne głosy, że niechlujne skonfigurowanie proxy pozostawiło Kinto na łasce losu. Losu, który tym razem okazał się wyjątkowo okrutny.

Zespół już planuje przywrócenie stanu sprzed ataku: airdrop tokenów z bloku sprzed exploita, odtworzenie płynności na Uniswapie i relisting tokena K po cenie 7,48 USD do 31 lipca. Ale czy inwestorzy będą w stanie odzyskać zaufanie do tego projektu?

Na ten moment wiadomo tyle, że trwają poszukiwania sprawcy całego tego kosztownego zamieszania. Recuero przyznał, że „wszystkie znaki wskazują na grupę Lazarus”. Północnokoreańską grupę hakerską, która w tym roku, po spektakularnym ataku, ukradła już 1,5 miliarda dolarów z giełdy Bybit.