El contrato de recompensas de Fluid fue vulnerado, lo que resultó en una pérdida de aproximadamente 215.000 $

Según BlackHart, el mecanismo de distribución de recompensas del proyecto DeFi Fluid en Ethereum fue explotado, provocando la transferencia no autorizada de activos por valor de unos 215.000 $. Fluid utiliza un mecanismo de lista de recompensas Merkle iniciado por una clave y aprobado por otra. El atacante poseía simultáneamente ambas claves privadas operativas, envió una lista que solo le otorgaba recompensas a sí mismo y completó la reclamación mediante una prueba de conocimiento cero.

Los activos sustraídos procedían de tres distribuidores de recompensas e incluían 112.883 FLUID, 47.903 GHO y una pequeña cantidad de cbBTC, que posteriormente fueron cambiados por ETH y transferidos a través de Tornado Cash. El mercado de préstamos, la tesorería, el DEX y los depósitos de los usuarios de Fluid no se vieron afectados. El equipo reemplazó las claves comprometidas y transfirió los fondos de recompensa restantes en aproximadamente 10 horas, pero el comunicado público solo mencionó que las reclamaciones de recompensas se pausaron por actualizaciones, sin detallar la filtración de las claves privadas ni las pérdidas.