Crypto-gamingplatform PlayDapp verloor $290 miljoen aan tokens in twee exploits in de loop van vier dagen, waarbij de aanvaller een “white hat reward” van $1 miljoen negeerde om het gestolen geld terug te geven.

Het in Zuid-Korea gevestigde crypto-gamingplatform PlayDapp verloor miljoenen dollars aan geld in een reeks exploits waarvan blockchain-beveiligingsonderzoekers denken dat deze het resultaat waren van een compromis met een privésleutel.

De eerste exploit vond plaats op 9 februari, toen een ongeautoriseerde portemonnee 200 miljoen PLA-tokens sloeg ter waarde van destijds $36 miljoen. Blockchain-beveiligingsbedrijf PeckShield merkte op dat de exploit het gevolg leek te zijn van een lek van een privésleutel.

Hi @playdapp_io, misschien wil je eens kijken.

Nieuw 200m $PLA tokens waren net vers geslagen. Het lijkt een privésleutellek te zijn en de nieuwe munter is zojuist toegevoegd in de volgende tekst: https://t.co/tyxDksNwSt pic.twitter.com/SkjZsTjtdQ

- PeckShield Inc. (@peckshield) 9 februari 2024

“Het PLA-tokencontract is gehackt en er zijn extra PLA-tokens uitgegeven. We begrijpen de ernst van deze situatie en verzekeren u dat we onmiddellijk actie ondernemen”, schreef het PlayDapp-team kort daarna in een X-post. 

PLA is het native token van het PlayDapp-platform, dat fungeert als het primaire token voor het verwerken van transacties en wordt uitbetaald aan game-ontwikkelaars wanneer zij in-game aankopen doen.

Na de exploit stuurde PlayDapp de hacker een on-chain bericht met het verzoek om de gestolen gelden vóór 13 februari terug te geven in ruil voor een “white hat reward” van $ 1 miljoen.

De exploitant sloeg echter op 1.59 februari nog eens 12 miljard PLA-tokens, ter waarde van $253.9 miljoen op dat moment. 

“Deze tokens beginnen al witgewassen te worden – ze worden naar crypto-uitwisselingen en andere accounts gestuurd”, schreef blockchain-beveiligingsbedrijf Elliptic in een blogpost.

Elliptic merkte op dat het totale circulerende aanbod van PLA-tokens voorafgaand aan de aanval 577 miljoen bedroeg, wat betekent dat de exploitant het moeilijk kan vinden om de 1.8 miljard nieuw geslagen tokens te verkopen tegen iets dat in de buurt komt van hun marktwaarde voorafgaand aan de hacks.

PlayDapp heeft sindsdien het slimme PLA-contract gepauzeerd en gebruikers gevraagd transacties stop te zetten voorafgaand aan een momentopname voor een geplande migratie. Het platform zei ook dat het samenwerkt met crypto-uitwisselingen, blockchain-forensische bedrijven en wetshandhavingsinstanties om de schade te beperken.

We verzoeken om stopzetting van de transacties omdat we binnenkort een migratie zullen uitvoeren op basis van de momentopname.

— SpeelDapp (@playdapp_io) 13 februari 2024

De waarde van PLA daalde de afgelopen zeven dagen met 15% tot een dieptepunt van $ 0.1394 op het moment van schrijven.