Contrato de recompensas da Fluid foi violado, resultando numa perda de aproximadamente 215.000 dólares

Segundo a BlackHart, o mecanismo de distribuição de recompensas do projeto DeFi Fluid na Ethereum foi alvo de um ataque, resultando na transferência de aproximadamente 215.000 dólares em ativos. A Fluid utiliza um mecanismo de lista de recompensas Merkle iniciado por uma chave e aprovado por outra. O atacante detinha simultaneamente ambas as chaves privadas operacionais, submeteu uma lista que apenas o beneficiava a si próprio e, em seguida, concluiu a reivindicação com uma prova de conhecimento zero.

Os ativos roubados provieram de três distribuidores de recompensas, incluindo 112.883 FLUID, 47.903 GHO e uma pequena quantidade de cbBTC, que foram posteriormente trocados por ETH e transferidos através do Tornado Cash. O mercado de empréstimos, a tesouraria, a DEX e os depósitos dos utilizadores da Fluid não foram afetados. A equipa substituiu as chaves comprometidas e transferiu os fundos de recompensa restantes no espaço de aproximadamente 10 horas, mas a declaração pública apenas mencionou que as reivindicações de recompensas foram suspensas para atualizações, sem mencionar detalhes sobre a fuga de chaves privadas e as perdas.