Hacker monta “equipe de resgate” e evita possível roubo de US$ 10 milhões em ETH

Antes de partir para cama, no entanto, ele resolveu dar uma última olhada em contratos da blockchain da Ethereum. Samczsun costuma percorrer a rede em busca de possíveis falhas. Durante a verificação rotineira, conforme relado feito em seu blog, ele encontrou um “bug” em um contrato inteligente. Nele, havia 25 mil ETH. Em moeda fiduciária, o montante dá cerca de US$ 10 milhões (R$ 55 milhões). Ao ver o tamanho do prejuízo que o “dono” dos ativos poderia ter, Samczsun disse que seu coração “deu um salto”. Os tokens, ele veio a descobrir, eram parte do Lien Finance, um protocolo descentralizado para criação de stablecoins.

Hacker montou equipe para salvar tokens

O time do Lien não poderia ser avisado, pois era anônimo. O hacker decidiu, então, ir atrás de pessoas que poderiam ter contato com membros da plataforma. Uma equipe de resgate foi criada. Participaram do grupo membros da CertiK Foundation, uma organização que desenvolve infraestrutura de segurança para blockchain, e da Sparkpool, um pool de mineração de Ethereum. De acordo com o relato, a equipe tinha algumas opções para tentar salvar o token. Uma seria a divulgação pública da vulnerabilidade. Esse caminho, no entanto, poderia chamar a atenção de hackers. A outra opção seria explorar o próprio contrato inteligente e devolver os fundos para seus legítimos proprietários. Essa opção, no entanto, poderia chamar atenção dos bots que ficam na mempool da Ethereum à espera de falhas. A mempool é uma área de espera da blockchain em que são mantidas as transações ainda não confirmadas por mineradores.

Equipe decidiu criar API que “esconde” transações

A equipe do hacker decidiu, então, criar uma API (sigla em inglês para Interface de Programação de Aplicativos) que dava aos mineradores a possibilidade de fazer uma transação sem exibi-la na mempool. O resgate, então, foi feito. Foram horas de trabalho, segundo o relato. Nesse meio tempo, a equipe de “hackers salvadores” também conseguiu contatar os membros do Lien Finance.

“E assim, em uma noite de terça-feira, nosso grupo improvável se uniu por uma causa comum e trabalhou incansavelmente para tentar garantir que mais de 9,6 milhões de dólares fossem devolvidos aos seus legítimos proprietários”, escreveu o hacker em seu blog.