Na segunda-feira, um golpe de phishing oferecendo um airdrop fraudulento conseguiu roubar dos usuários do Uniswap quase US$ 8 milhões em fundos.
O esquema de phishing prometia um airdrop gratuito de 400 tokens UNI –no valor aproximado de US$ 2.200–.
Os usuários foram solicitados a conectar suas carteiras de criptomoedas e assinar a transação para reivindicar o airdrop falso.
Após a conexão, o hacker desconhecido drenou os fundos do usuário por meio de um contrato inteligente malicioso.
Até o momento, mais de 74.000 carteiras interagiram com o contrato inteligente de golpe de phishing, de acordo com dados da Etherscan.
Essa transação dos indivíduos que caíram no golpe serviu como uma transação de aprovação, dando ao hacker acesso a todos os tokens Uniswap LP (Liquidity Pool) mantidos pelo usuário.
Sempre que os usuários adicionam liquidez ao Uniswap, eles recebem tokens LP em troca como uma representação de suas posições de liquidez.
Esses tokens são transferíveis e adotam o padrão de token ERC-721, como todos os outros NFTs.
Assim, por meio de uma transação de aprovação, um terceiro (a carteira do hacker neste caso) poderia gastar fundos em nome do usuário.
Depois de obter acesso da transação de aprovação anterior, o hacker transferiu todos os tokens LP para sua carteira e retirou toda a liquidez da Uniswap.
A carteira de hackers ganhou quase 7.573,94 ETH com a exploração, de acordo com informações analíticas da Etherscan.
“Este foi um ataque de phishing que resultou em alguns LP NFTs sendo retirados de indivíduos que aprovaram transações maliciosas”, disse o criador do Uniswap, Hayden Adams.
“A partir do bloco 151.223.32, houve 73.399 endereços que receberam um token malicioso para direcionar seus ativos, sob a falsa impressão de um airdrop $UNI baseado em seus LPs ”, twittou Harry Denly, engenheiro de segurança da Metamask.
Horas após o tweet de Denly, Changpeng Zhao, CEO da Binance, também twittou sobre o assunto, inicialmente ele alegou que o protocolo DEX foi explorado.
Mas mais tarde, após esclarecimentos da equipe Uniswap, ele confirmou que era de fato um golpe de phishing e que o protocolo é seguro.
“Isso parece uma coisa incrivelmente irresponsável de twittar, foi uma campanha de phishing, não uma exploração do código Uniswap v3”, respondeu um usuário à alegação inicial de Zhao.
“Vamos concordar em discordar. Pessoalmente, acho que quando você tem uma audiência de 6 milhões de pessoas, você não deve espalhar pânico sem verificar sua história primeiro”, disse outro usuário após o tweet inicial de Zhao.
Apesar do esclarecimento, o preço da UNI despencou mais de 10% nas últimas 24 horas.
UNI é um token de governança lançado em 2020 que permite que os titulares votem e proponham várias alterações feitas no protocolo Uniswap.
Leia mais: Brasil pode se tornar centro mundial para mineração de Bitcoin (BTC) com nova lei em discussão