Hack de Oyster Protocol y nuevo fork

Uno de los proyectos más prometedores del mundo de las criptomonedas se encuentra en graves problemas y podría acabar desapareciendo.

El creador anónimo del proyecto Oyster, Bruno Block, ha sorprendido a toda la comunidad y su equipo de desarrollo cuando el 29 de Octubre invocó la funcionalidad del smart contract de Oyster transferDirector concediéndose a sí mismo derechos de administrador, lo cual le ha permitido reabrir la fase de ICO y crear de la nada 3 millones de nuevos tokens a precio de preventa 1 ETH = 5000 PRL ó 4 céntimos de dólar por PRL`. Inmediatamente después los ha enviado al exchange con más volumen que soporta PRL llamado KuCoin, y los ha vendido obteniendo unas ganancias de 300,000$ en apenas unas horas.

Decidí mantener mi identidad anónima debido a que al inventar el protocolo, podría tener repercusiones políticas en el futuro, ya que estamos creando el primer protocolo de almacenamiento garantizado como totalmente privado.- Bruno Block

La linea 179 del smart contract de Oyster permite a cualquier persona con la clave privada que desplegó el contrato reabrir la fase de ICO. Aprovechándose de esta vulnerabilidad el orden de eventos inmortalizado en el blockchain de Ethereum (al tratarse de una moneda ERC20) fue el siguiente:

Bloques	Eventos
6605271	El método openSale() fue invocado reabriendo la fase de ICO en el contrato.
6605281	Este wallet envía 50 ETHs al smart contract, creando 250000 PRLs.
6605299	50 Eth a cambio de 250,000 PRL
6605340	50 Eth a cambio de 250,000 PRL
6605366	50 Eth a cambio de 250,000 PRL
6605608	73 Eth a cambio de 356,000 PRL
6606268	186 Eth a cambio de 930,000 PRL
6606409	175 Eth a cambio de 875,000 PRL
6606737	173 Eth a cambio de 865,000 PRL
6605411	El mismo wallet empieza a vender en KuCoin por valor de 65 Eth.
6605411	Ahora vende por valor de 61 Eth

El exit scam, cómo se denominan estas acciones, ha sido realizado 2 días antes de que KuCoin incrementara sus medidas de KYC lo cual hubiera impedido que el actor malicioso extrajera más de 2BTC sin validar su identidad.

Por el momento Kucoin y otros exchanges han congelado todo el tráfico de PRL y su moneda hermana SHL hasta que se resuelva la situación.

Podemos confirmar que alguien ha tomado control del Smart Contract. NO COMPREIS NADA. Estamos esperando más información y estamos intentando congelar el trading en KuCoin. - Equipo de Oyster

Por lo visto el contrato de PEARL ha pasado 3 auditorías de código, y ninguna de ellas fue capaz de encontrar esta gran vulnerabilidad que permitía reabrir la fase de ICO a voluntad del creador.

No es la primera vez que los creadores de una criptomoneda realizan un exit scam. Por ejemplo la ICO Blockbroker realizó uno a pesar de haber pasado varias auditorías de código y conseguir buenas valoraciones por respetadas páginas de valoración de inversión en ICO.

El equipo de Oyster ha confirmado públicamente el desastre y ha acusado a Bruno Block como único responsable ya que ellos tienen en su posesión más de un 5% del total de tokens PRL en circulación, que pasarían a valer cero si el proyecto no puede ser salvado. En consecuencia han anunciado que realizaran un hard fork del PRL original a una nueva moneda llamada Opacity (OPQ) que contará con un 30% más de monedas que PRL y otorgándole a los inversores tokens OPQ en un ratio 1:1.

Cualquier persona que envíe Ethereum al smart contract para obtener PRL a precio de ICO se arriesga a no ser reembolsado cuando se haga el hard fork a PRL2 - Equipo de Oyster.

Por otro lado, Bruno Block ha roto su silencio y ha acusado al CEO de Oyster Bill Cordes de inside trading. Según el anónimo fundador, Bill anunció internamente que PRL iba a ser listado en el famoso exchange Binance, algo que sin duda subiría su precio considerablemente. Aprovechando esta inminente noticia, Bill y otros miembros del equipo supuestamente empezaron a comprar tokens PRL en KuCoin inflando el precio de 5 céntimos a 25 céntimos en vísperas a subidas mucho mayores en el momento en que se oficializase la salida en Binance.

En las conversaciones hechas públicas por Bruno Block, Bill se defiende diciendo que el inside trading no está penado en el mundo de las criptomonedas y que probablemente Binance también se esté aprovechando de la misma manera.

En venganza, Bruno Block decide tomar cartas en el asunto, y haciendo uso de un agujero de seguridad que él mismo dejó en el smart contract decide reabrir la fase de ICO, crear nuevos tokens de la nada y venderlos en KuCoin tirando de nuevo el precio de 25 céntimos a unos 7 momento en el cual, KuCoin congeló el intercambio de la divisa.

Llegados a este punto, Bruno asegura que el resto del equipo está despedido, y de que el mismo implementará el protocolo de Oyster gradualmente sin necesidad de marketing ni CEOs y posiblemente revelará su identidad.

Comunicado de Bruno Block acusando de inside trading al resto del equipo y confesando el robo de 300,000$ de los inversores.

Mientras tanto el CEO de Oyster Bill Cordes ha hecho un nuevo comunicado donde niega cualquier acción de inside trading y además publicada conversaciones privadas con Bruno en la que parece estar mentalmente inestable y habla de un inminente apocalipsis debido a la deuda mundial que supuestamente justifica sus acciones.

Bruno Block confiesa que lo hizo por dinero para proteger a su familia en el inminente apocalipsis inflacionario donde los plátanos costarán 5000$.

Opinión

Es un día muy oscuro para este proyecto tan prometedor, pero al mismo tiempo es importante aprender varias lecciones de él.

El peligro de invertir en proyectos con fundadores anónimos es muy alto, puesto que el fundador puede desaparecer sin consecuencias de ningún tipo. Adicionalmente por mucho que los smart contracts pasen auditorías, vulnerabilidades como ésta o la que se dio en el DAO puede ser obviadas permitiendo a aquellos tecnológicamente capaces de encontrarlas la posibilidad de enriquecerse a costa de los demás.

Desde que ideó el whitepaper original de PRL se ha considerado a Bruno Block un genio, y queda por ver si realmente el equipo restante será capaz de entregar un OPQ capaz de cumplir el mismo propósito. Por otro lado, no veo posible que jamás se vuelva a confiar en un smart contract desplegado por Bruno, ya que su credibilidad se ha visto totalmente destruida.

El hecho además de que se haya tomado la oportunidad para inflar la moneda un 30% con la excusa de poder financiar el proyecto después de esta crisis (cuando el proyecto ya tenia un devfund!) no ayuda a que la confianza por el equipo se recupere.

Sólo el tiempo nos dirá si este proyecto podrá sobrevivir, por el momento su supervivencia pinta muy mal.

Puedes leer más artículos como este en mi blog CRIPTOMO.