En hackare tömde cirka 86 000 USD från UNCX Networks gemensamma token-uppbindningspool på Ethereum på onsdagen, och tog tokens som andra projekt hade låst in. Säkerhetsföretaget Blockaid sade att attacken fortfarande pågår.
UNCX, tidigare kallad UniCrypt, säljer till kryptoprojekt som vill låsa sina egna tokens. Då kan inte insidern sälja tidigt. Deras kontrakt håller cirka 179,7 miljoner USD på olika blockkedjor, med 111,4 miljoner USD på Ethereum.
Hur lyckades hackaren ta ut tokens som tillhör andra?
Blockaid sade att förlusten kom via en enda tömningstransaktion. Många projekts låsta tokens ligger tillsammans i samma pool.
Hackaren öppnade först flera uppbindningspositioner där. En sådan position är en plats som håller tokens och släpper ut dem enligt ett schema.
Sedan släppte hackaren en stor position och skickade extra tokens in i poolen. Efter det avbröt de en position som hade fyllts på.
Det ledde till att en liten restposition blev kvar. Enligt Blockaid kunde denna lilla plats sedan ta ut tokens som tillhörde andra användare.
UNCX egen guide säger att låsta tokens är tidslåsta i ett granskat kontrakt.
“kan inte skickas, säljas, läggas till likviditet eller stakas,” står det i guiden här.
Blockaid namngav två exploateringsplånböcker. Etherscan visade att en av dem hade cirka 5 874 USD från åtta transaktioner.
Varför en förlust på 86 000 USD fortfarande är viktig för små projekt
UNCX hade inte lagt ut ett offentligt uttalande om UNCX-attacken vid publiceringstillfället.
Plattformens egen token reagerade knappt. UNCX Network (UNCX) handlades till 24,80 USD, upp 0,16 % på 24 timmar enligt BeInCryptos data. Det totala marknadsvärdet är nära 905 000 USD.
Även små förluster kan sänka ett projekt. Decentraliserade börsen Full Sail avslutade sin verksamhet efter en attack som kostade ungefär 91 000 USD i augusti.
Äldre kontraktskod har också drabbats. Notional Finance förlorade 1,73 miljoner USD på grund av en heltalöverskridningsbugg i gamla kontrakt i september.
Token-låsningstjänster finns så köparna kan se att insiders inte kan sälja allt. Det är fortfarande oklart vilka projekt som förlorade tokens och om UNCX kan stoppa poolen innan fler uttag sker.
