Jill Gunter, cofundadora da Espresso, relatou na quinta-feira que sua carteira criptografada foi esgotada devido a uma vulnerabilidade em um contrato da Thirdweb, de acordo com declarações postadas nas redes sociais.
Resumo
- A veterana da criptografia Jill Gunter relatou o roubo de mais de US$ 30.000 em USDC de sua carteira, que foi drenada em 9 de dezembro e encaminhada através do Railgun.
- A vulnerabilidade resultou de um contrato legado da Thirdweb que permitia acesso a fundos com aprovações ilimitadas de tokens.
- O incidente ocorreu após uma falha separada na biblioteca de código aberto de 2023 que afetou mais de 500 contratos de token e foi explorada pelo menos 25 vezes, de acordo com o ScamSniffer.
Gunter, descrita como uma veterana de 10 anos na indústria de criptomoedas, disse que mais de US$ 30.000 em stablecoin USDC foram roubados de sua carteira. Os fundos foram transferidos para o protocolo de privacidade Railgun enquanto ela preparava uma apresentação sobre privacidade de criptomoedas para um evento em Washington, DC, de acordo com seu relato.
Em uma postagem de acompanhamento, Gunter detalhou a investigação do roubo. A transação que esgotou seu endereço jrg.eth ocorreu em 9 de dezembro, com os tokens sendo transferidos para o endereço no dia anterior, em antecipação ao financiamento de um investimento anjo planejado para aquela semana, afirmou ela.
Embora os tokens tenham sido transferidos de jrg.eth para outro endereço identificado como 0xF215, a transação apresentou interação contratual com 0x81d5, segundo análise de Gunter. Ela identificou o contrato vulnerável como um contrato ponte da Thirdweb que ela havia usado anteriormente para uma transferência de US$ 5.
A Thirdweb informou a Gunter que uma vulnerabilidade foi descoberta no contrato da ponte em abril, relatou ela. A vulnerabilidade permitiu que qualquer pessoa acessasse fundos de usuários que aprovaram permissões ilimitadas de token. Desde então, o contrato foi rotulado como comprometido no Etherscan, um explorador de blockchain.
Gunter afirmou que não sabia se receberia reembolso e caracterizou tais riscos como um risco ocupacional na indústria de criptomoedas. Ela prometeu doar quaisquer fundos recuperados à SEAL Security Alliance e incentivou outros a considerarem doações também.
Thirdweb publicou uma postagem no blog afirmando que o roubo resultou de um contrato legado que não foi devidamente encerrado durante sua resposta à vulnerabilidade de abril de 2025. A empresa disse que desativou permanentemente o contrato legado e que nenhuma carteira ou fundo de usuário permanece em risco.
Além do contrato de ponte vulnerável, a Thirdweb divulgou uma vulnerabilidade de amplo alcance no final de 2023 em uma biblioteca de código aberto comumente usada. O pesquisador de segurança Pascal Caversaccio, do SEAL, criticou a abordagem de divulgação da Thirdweb, afirmando que fornecer uma lista de contratos vulneráveis avisava antecipadamente os atores mal-intencionados.
De acordo com a análise da ScamSniffer, uma empresa de segurança blockchain, mais de 500 contratos de token foram afetados pela vulnerabilidade de 2023 e pelo menos 25 foram explorados.
Fontecrypto.news
