L’hack di RocketSwap sulla blockchain Base è stato un rug pull?
RocketSwap, un exchange decentralizzato sviluppato su Base, il network Layer 2 di Coinbase, ha subito un attacco in cui ha perso 471 ETH (circa 870.000$).
Si sospetta si sia trattato di un rug pull, dal momento che chi ha rubato i fondi li ha poi trasferiti su Ethereum dove ha creato la memecoin LoveRCKT.
L’exploit di RocketSwap
RocketSwap, un exchange decentralizzato sviluppato sulla blockchain Base Layer 2, è stato violato. Secondo la società di sicurezza PeckShield, l’autore dell’attacco è riuscito a portare via 471 ETH (870.000 dollari).
#PeckShieldAlert The @RocketSwap_Labs exploiter has grabbed ~471 $ETH and bridged them from #Base to #Ethereum, and then created the token $LoveRCKT, the exploiter already supplied 90T $LoveRCKT and 400 $ETH to #Uniswap https://t.co/z12YlLjbsn pic.twitter.com/Wxaph6lcuD
— PeckShieldAlert (@PeckShieldAlert) August 15, 2023
Il team di RocketSwap ha dichiarato di aver identificato la causa dell’hacking in una serie di errori, tra cui l’uso di firme offline da parte del DEX nella distribuzione del launchpad e la decisione di memorizzare le chiavi private sul server.
Alle dichiarazioni hanno fatto seguito accuse dirette sui social, il sospetto è che si sia trattato di un rug pull, cioè che gli stessi sviluppatori abbiano orchestrato tutto per rubare i fondi. Il team però insiste e si difende incolpando un hacker estraneo al gruppo.
Secondo quanto ha ricostruito il team degli sviluppatori, il violento attacco è stato diretto a un server su cloud utilizzato dal progetto. Qui erano archiviate le chiavi private di RocketSwap ed è stato facile trasferire poi gli asset presenti nella sua yield farm.
Il team ha spiegato in un post su Twitter:
“Ci spiace informarvi che il team ha dovuto utilizzare firme offline quando ha distribuito il launchpad e ha messo le chiavi private sul server. È stato rilevato un attacco brute force al server e, in base al contratto del proxy utilizzato per il contratto della farm, c’erano diverse autorizzazioni ad alto rischio che hanno permesso il trasferimento degli asset della farm.”
Quest’ultimo hack mostra la seconda significativa falla nella sicurezza della rete Base. La precedente è stata lo scorso 31 luglio quando è stato attaccato il DEX LeetSwap, che ha perso 630.000$.
A luglio è stata attivata la mainnet della rete Base, riservata agli sviluppatori che hanno la possibilità di testarla prima di rilasciare la blockchain su larga scala. Finora, oltre 200 milioni di dollari di asset sono stati trasferiti alla rete da Ethereum.
Dopo il danno la beffa con la memecoin
Dopo l’incidente di ieri, PeckShield ha notato che l’hacker di RocketSwap ha spostato i fondi rubati dalla blockchain Base a Ethereum e ha creato rapidamente un memecoin chiamato LoveRCKT.
Appena mintato il token, è stato associato a una liquidità di 400 ETH su Uniswap.
Nonostante fosse evidente che l’hacker aveva usato i fondi rubati per rendere operativa le memecoin, gli investitori hanno abboccato.
Il prezzo di LoveRCKT è triplicato in un solo giorno, passando da $0,00000001 a $0,00000003, prima di crollare di oltre il 90%.
