#StablRStablecoinDepegsAfterExploit

Este es un ejemplo clásico y doloroso de una gobernanza "declarada descentralizada" que vuelve a perjudicar a un proyecto. Cuando un protocolo utiliza una firma múltiple 1-de-3 para algo tan crítico como los derechos de acuñación, se anula completamente el propósito de tener una billetera multisig en primer lugar.

Aquí hay un desglose de lo que salió mal, cómo el atacante extrajo los fondos y por qué el "beneficio" fue mucho menor que el valor nominal de los tokens.

Cómo se desarrolló el ataque

La explotación fue fundamentalmente una falla en la gestión de claves en lugar de una vulnerabilidad en el código. Debido a que el contrato solo requería una firma de tres para ejecutar transacciones, comprometer una sola clave privada le dio al atacante claves completas del reino.

La progresión del ataque

Paso 1: Compromiso y toma de control de la clave: El atacante obtuvo acceso a una de las tres claves privadas. Usando esta firma única, ejecutó un comando de administrador para agregar su propia dirección como propietario y eliminó por completo a los otros dos firmantes legítimos.

Paso 2: Acuñación sin respaldo: Con control total sobre el contrato de acuñación, acuñaron instantáneamente 8.35 millones de USDR y 4.5 millones de EURR sin proporcionar ningún colateral.

Paso 3: La venta en el DEX: El atacante se apresuró a intercambiar los tokens sin respaldo en intercambios descentralizados (DEXs) por Ethereum (ETH).

Deslizamiento y liquidez escasa: La pérdida de $7.6 millones

El atacante acuñó un valor nominal combinado de aproximadamente $10.4 millones en paridad. Sin embargo, solo se llevó unos 1,115 ETH (aprox. $2.8 millones).

¿Por qué la discrepancia tan grande? Liquidez escasa.

Los pools de stablecoins en los DEXs dependen de una liquidez profunda para mantener la fijación de precios del creador de mercado automatizado (AMM). Debido a que los pools de StablR eran relativamente superficiales, las órdenes de venta masivas y repentinas del atacante sobrepasaron completamente la liquidez disponible. Esto provocó un deslizamiento extremo en el precio, colapsando efectivamente el valor de los propios tokens que intentaban canjear durante el intercambio.

La nuance regulatoria (MiCA)

Lo que hace esto particularmente notable es la posición de StablR como un emisor regulado en Europa, compatible con MiCA. La regulación de los Mercados en Criptoactivos (MiCA) impone reglas estrictas sobre reservas, requisitos de capital y auditorías.

Sin embargo, como señaló la firma de seguridad Blockaid, las auditorías de cumplimiento regulatorio estándar generalmente se centran en reservas financieras y estructuras legales en lugar de la seguridad operativa técnica en tiempo real (OpSec). El cumplimiento legal no equivale automáticamente a una seguridad criptográfica estructural; una estructura multisig 1-de-3 es un punto único de fallo evidente independientemente de cuán cumplidora sea la empresa en papel.
‍$ETH