Análisis del incidente de hackeo del Protocolo Cork: pérdidas superiores a 10 millones de dólares

El 28 de mayo, una agencia de seguridad detectó actividades potencialmente sospechosas relacionadas con el Protocolo Cork y emitió una alerta de seguridad, recomendando a los usuarios que mantengan la vigilancia y presten atención a la seguridad de sus cuentas y fondos.

Luego, Cork Protocol emitió un anuncio que dice: "Hoy a las 11:23 UTC, ocurrió un incidente de seguridad en el mercado wstETH:weETH. Para prevenir la expansión del riesgo, Cork ha suspendido todas las demás operaciones del mercado, y actualmente no hay otros mercados afectados. El equipo está investigando activamente la causa del incidente y proporcionará actualizaciones continuas sobre el progreso relacionado."

Después del incidente, el equipo de seguridad intervino de inmediato para analizar, a continuación se presenta un análisis detallado de las técnicas de ataque y las rutas de transferencia de fondos.

Conocimientos Previos

Cork Protocol es una herramienta que proporciona funciones similares a los contratos de intercambio de incumplimiento de crédito (CDS) en las finanzas tradicionales para el ecosistema DeFi - intercambio de desanclaje, diseñado específicamente para cubrir el riesgo de desanclaje de activos vinculados como stablecoins, tokens de staking líquido y RWA. Su mecanismo central se centra en el riesgo de desanclaje de stablecoins y tokens de staking líquido, permitiendo a los usuarios transferir el riesgo de fluctuación de precios de stablecoins o LST/LRT a otros participantes del mercado mediante la negociación de derivados de riesgo, lo que reduce el riesgo y mejora la eficiencia del capital. Los conceptos clave son los siguientes:

• RA (Redemption Asset | Activo de Redención): Activo de referencia utilizado en el mercado de Cork para la redención o liquidación de eventos de desvinculación.
• PA (Pegged Asset | Activo Anclado): Activos que presentan riesgo de desacoplamiento, cuyo objetivo es mantener el precio vinculado al RA.
• DS (Depeg Swap | Desacoplar Swap): Herramienta derivada central emitida por el protocolo Cork, utilizada para cubrir el riesgo de desacoplamiento.
• CT (Cover Token | Token de Cobertura): herramienta derivada emparejada con DS, utilizada para asumir el riesgo de desanclaje y obtener ganancias.
• Tipo de cambio: parámetro clave que mide la relación de valor entre PA y RA.
• Cork Vault: gestión automatizada de la liquidez a través de plazos, mejorando la eficiencia del capital.
• Módulo de Estabilidad de Peg (PSM): responsable de acuñar/quemar DS y CT, establecer plazos de mercado y ajustar dinámicamente los precios a través de AMM.

Causa raíz

La causa fundamental de este ataque radica en que Cork permite a los usuarios crear activos de rescate utilizando cualquier activo a través del contrato CorkConfig (RA), lo que permite a los atacantes usar DS como RA. Al mismo tiempo, cualquier usuario puede invocar la función beforeSwap del contrato CorkHook sin autorización, y se permite a los usuarios ingresar datos de hook personalizados para realizar operaciones de CorkCall, lo que permite a los atacantes manipular y depositar DS del mercado legítimo en otro mercado como RA, obteniendo así los correspondientes tokens DS y CT.

Análisis de ataques

1. El atacante primero compró el token weETH8CT-2 en un mercado legítimo usando wstETH, para poder finalmente combinarlo con el token DS y canjearlo como el token wstETH de RA.

2. El atacante creó un nuevo mercado y utilizó un proveedor de tipo de cambio personalizado, este mercado fue creado utilizando el token weETH8DS-2 como RA y wstETH como PA.

3. Después de crear el nuevo mercado, el atacante añade cierta liquidez al mercado para que el protocolo pueda inicializar el correspondiente grupo de liquidez en Uniswap v4.

4. El atacante utiliza la función unlockCallback en el Uniswap V4 Pool Manager al desbloquear, llamando a la función beforeSwap de CorkHook y pasando su mercado personalizado y los datos del hook.

5. beforeSwap llamará a la función CorkCall del mercado legítimo, ejecutando los datos hook especificados. CorkCall confía en los datos proporcionados por el CorkHook legítimo de nivel superior y los analiza y ejecuta directamente.

6. El atacante transfiere una cantidad específica de tokens weETH8DS-2 desde un mercado legítimo a un nuevo mercado creado por él como RA, y obtiene los tokens CT y DS correspondientes a este nuevo mercado.

7. El atacante utiliza los tokens CT y DS obtenidos para canjear tokens RA en el nuevo mercado, es decir, el token weETH8DS-2.

8. Por último, el atacante emparejará el token weETH8DS-2 que ha obtenido con el token weETH8CT-2 que compró anteriormente, canjeando el token wstETH en el mercado original.

Análisis del flujo de fondos

Según el análisis en cadena, la dirección del atacante obtuvo 3,761.878 wstETH, con un valor de más de 12 millones de dólares. Posteriormente, el atacante intercambió wstETH por 4,527 ETH a través de 8 transacciones. Los fondos iniciales del atacante provienen de 4.861 ETH transferidos desde una plataforma de intercambio.

Hasta el momento, hay 4,530.5955 ETH en la dirección del atacante, y las instituciones relevantes continuarán monitoreando los fondos.

Resumen

La causa fundamental de este ataque radica en no verificar estrictamente si los datos proporcionados por los usuarios cumplen con las expectativas, lo que permite que la liquidez del protocolo sea manipulada y trasladada a mercados no esperados, y luego sea redimida ilegalmente por los atacantes para obtener beneficios. Se recomienda a los desarrolladores que, al diseñar, deberían verificar cuidadosamente si cada operación del protocolo está dentro de lo esperado y restringir estrictamente los tipos de activos en el mercado.