Pagtaas ng Crypto at DeFi Hacks sa Abril – Exploit sa Kontrata ng Yearn, Pag-drain ng MEV Bot, Mga Update sa Redemption ng Euler at Sushi

Iniulat ng PeckShield noong maagang Huwebes na ang non-custodial money market protocol na Aave at ang DeFi yield farming platform na Yearn Finance ay naapektuhan sa isang exploit. Ang koponan sa seguridad ng blockchain ay nagpalagay na ang isang maling pagkaka-configure ng yUSDT ay nagdulot ng kompromiso, na nagbigay-daan sa masamang aktor na mag-mint ng malaking halaga ng yUSDT mula sa $10K USDT.

Kasangkot ang Yearn Finance sa pinakabagong insidente ng hack sa DeFi

Ang paunang pagsusuri na ibinahagi ng PeckShield ay nagpakita na ang indibidwal/koponan na nag-exploit ng ‘misconfigured’ na kahinaan para sa walang katapusang minting ay nag-cash out ng hanggang $11 milyon na halaga ng mga token na Dai (DAI), Tether (USDT), USD Coin (USDC), Binance USD (BUSD) at Tru USD (TUSD). Isang tweet update mula sa pinuno ng Aave integrations na si Marc Zeller ang nagkumpirma sa insidente, nilinaw na tanging bersyon 1 ng protocol, na na-freeze mula noong Dis 22, ang naapektuhan. Ang koponan ng Yearn Finance ay nag-abiso rin sa mga gumagamit na alam nila ang insidente sa isang hiwalay na post.

“Tinitingnan namin ang isang isyu sa iearn, isang lipas na kontrata mula bago pa ang Vaults v1 at v2. Ang problemang ito ay tila eksklusibo sa iearn at hindi nakakaapekto sa kasalukuyang mga kontrata o protocol ng Yearn. Ang iearn ay isang immutable na kontrata na mas nauna pa sa YFI, ito ay na-deprecate noong 2020. Ang Vaults v1, na may upgradeable na mga estratehiya, ay na-deprecate rin noong 2021. Walang indikasyon na ito ay apektado. Ang kasalukuyang bersyon v2 ng Vaults ay nananatiling hindi apektado rin.”

Kapansin-pansin, ang flash loan exploit ay nagdulot ng hindi inaasahang resulta – isang pagbabayad ng USDT ng user ng Aave, na makikita sa on-chain mga rekord. Iba’t ibang entidad sa seguridad tulad ng Otter Sec at iba pang mga koponan na kaugnay ng Aave ang tumulong upang suriin ang pag-atake. Ang DeFi tracking platform na Nansen ay napansin na ang aktor ay nagpadala ng ninakaw na pondo sa tatlong address. Ipinapakita ng on-chain data na ang nag-exploit ay nagdeposito ng 1000 ETH, na kumakatawan sa malaking bahagi ng ninakaw na token, sa Tornado Cash, marahil upang takpan ang kanyang bakas. Ang ikalawang wallet ay nakatanggap ng higit sa 4.7 milyong DAI at 2.5 milyong USDC stablecoins. Ang exploit sa lending platform ng Yearn Finance ay sumusunod sa sunod-sunod na mga insidente na naiulat sa decentralized finance (DeFi) space sa taong ito.

Nanloloob ang mga hacker at scammer ng $452M mula sa mga mamumuhunan sa Q1, na may 29% na rate ng pagbawi

Ang provider ng blockchain data na Chainalysis ay dati nang nag-ulat na ang mga hack sa DeFi niche ay bumubuo ng 82% ng $3.8 bilyong pagkalugi sa crypto sector sa buong 2022. Sa isang kamakailang update tungkol dito, ang antivirus at app provider na De.Fi ay napansin na ang mga cybercriminal ay nagnakaw ng $452 milyon sa katatapos lamang na quarter. Bagaman napakalaki, ang halagang ito ay nagpapakita ng malaking pagbaba mula sa $1.3 bilyong pagkalugi sa parehong panahon noong nakaraang taon. Ang huling ulat ay nag-highlight din na halos kalahati ng mga pagkalugi sa Q1 ay naganap sa unang tatlong linggo ng Marso, kung saan ang flash loan attack sa Euler Finance noong Marso 13 ay nagdulot ng pinakamalaking pagkalugi sa quarter – $197 milyon. Ang magkasamang blockchain-based platform na BonqDAO at AllianceBlock ay nakaranas ng smart contract hack noong unang bahagi ng Pebrero, na nagdulot ng pagkawala ng $120 milyon. Samantala, ang inaakalang $45 milyong scam ng mga mamumuhunan ng CoinDeal, ang $16.5 milyong phishing attack ng Monkey Drainer, at isang $8.5 milyong flash loan attack sa Platypus Finance ay nagkompleto sa listahan ng limang nangungunang exploit sa quarter.

Ang mga paglabag ay tinatarget ang mga baguhan na may FOMO

Sa usapin ng paglaganap, ang mga smart contract exploit ang pinaka-karaniwang uri ng pag-atake, na bumubuo ng 17 insidente, sinundan ng walong naiuulat na rug pull. Ang mga flash loan exploit ay patuloy na laganap, na nag-ambag sa pagkalugi ng $200 milyon sa nasabing panahon. Tinantiya rin ng De.Fi na malinaw na pagdating sa mga vector ng pag-atake, ang mga token ang paboritong pagpipilian ng mga mapanirang aktor – simple itong ilunsad at sinasamantala ang kahinaan ng mga baguhan na takot mamiss ang mga oportunidad. Ang paghiram at pagpapautang ay pangunahing target kaya kahit na ito ay bumuo lamang ng limang insidente, ang kabuuang netong pagkalugi ay umabot sa $336 milyon. Ang BNB ang pinakamalaking biktima sa mga chain, na naging target sa 18 na pag-atake. Sa mga pagbawi, $130 milyon ng ninakaw na pondo ang naibalik sa mga biktima, ngunit ito ay patuloy na pagbaba kumpara sa rate ng pagbawi noong nakaraang taon sa parehong panahon, 40% ng $1.29 bilyon.

Exploit na may kaugnayan sa bug ng SafeMoon

Sa isang hiwalay na insidente, ang platform ng SafeMoon ay diumano’y na-kompromiso noong Marso 29 sa pamamagitan ng isang pampublikong burn function na tampok sa kamakailang upgrade. Ang sinasabing attacker ay sinamantala ang loophole na dulot ng bug upang magnakaw ng hanggang 27,000 BNB mula sa na-kompromisong SFM WBNB liquidity pool. Iniwan ng exploiter ang mensahe, “Hey relax, we are accidently frontrun an attack against you, we would like to return the fund, setup secure communication channel, let’s talk.” Ang SafeMoon ay nagtweet noong nakaraang linggo na nagpatuloy na ang trading sa kanilang platform.

Ang update noong Abril 5 ay nagbalangkas din ng ilang pag-aayos sa tokenomics at ipinahayag na isang upgraded na SWaP interface ang na-deploy.

“Patuloy naming pinagtatrabaho ang pag-recover ng mga LP funds […] Nakamit namin ang malaking progreso at patuloy na nagsusumikap upang maibalik ang normal na operasyon para sa lahat ng aming mga gumagamit,” sinabi ng SafeMoon sa pinakabagong komunikasyon ngayong linggo.

Mga paglabag sa seguridad ng DeFi sa Abril

Sa simula ng buwang ito, ang multichain bridge na Allbridge ay naranasan ang isang pag-atake noong Abril 2. Ang hacker ay gumamit ng mga teknik sa liquidity provision at swapping upang itulak ang presyo ng pool at magnakaw ng pondo. Ito ay naging posible dahil nagawang manipulahin nila ang swap price ng mga pool ng Allbridge sa BNB Chain sa pamamagitan ng pagiging parehong liquidity provider at swapper.

Na-exploit ang cross-chain protocol na Allbridge

Iniulat ng smart contract auditor na si CertiK na ang cross-chain protocol ay nawala ng hanggang $549,874. Sa kabilang banda, tinantiya ng blockchain security firm na PeckShield na kabuuang $573,000 ang na-exploit – $282,889 na halaga ng BUSD at $290,868 sa USDT. Noong panahong iyon, sinabi ng Allbridge na nakikipagtulungan ito sa mga kasosyo at komunidad upang subaybayan ang hacker sa mga social network at matiyak na sila ay mananagot. Nag-alok ang protocol ng bounty at legal na immunity sa hacker kung lalapit sila bilang white hat – upang hikayatin silang ibalik ang ninakaw na pondo.

1,500 BNB na ibinalik

Mukhang pinili ng hacker ang opsyon at ibinalik ang 1,500 BNB ($465,000), na na-convert sa BUSD upang matulungan ang mga apektadong indibidwal, habang ang natitirang ninakaw na pera ay iniwan bilang white hat bounty. Binanggit din ng Allbridge team na isang ikalawang attacker ang gumamit ng parehong teknik upang mag-drain ng pondo na hindi pa nakikipag-ugnayan upang talakayin ang settlement – nagbahagi ang Allbridge ng wallet address ng sinasabing exploiter, na may balanse na 0.97 BNB, na nagkakahalaga ng $302.5. Noong Martes, nag-share ang Allbridge sa isang tweet na natapos na nila ang unang round ng recovery payments para sa batch ng mga submission na isinumite hanggang Abril 9, habang hinihikayat ang mga may pending issues na sundan ang proseso ng exploit compensation.

Ang mga pangyayari pagkatapos ng SushiSwap exploit

Sa isang ibang insidente, iniulat ng blockchain security at intelligence firm na PeckShield noong maagang Linggo na ang SushiSwap ay na-exploit, kung saan isang indibidwal, ang Twitter user na oxSifu, ay nawalan ng humigit-kumulang $3.3 milyon. Ang security firm at ang Head Chef ng SushiSwap na si Jared Grey ay parehong humiling sa mga apektado na mag-revoke sa lahat ng chain. Bukod pa rito, tila naapektuhan ng pag-atake ang mga taong gumamit ng DEX sa loob ng huling apat na araw. Ang exploit ay nakaapekto sa kontrata ng SushiSwap na ‘RouterProcessor2’, na nagpapadali ng trade routing. Ayon sa PeckShield, ang bug ay may kaugnayan sa mekanismo ng ‘approve’.

‘Approve-related’ na bug ay nag-iwan ng ilang SushiSwap user na kulang

Ang mga gumagamit na nag-approve ng maling kontratang ito ay hindi sinasadyang nagbigay-daan sa exploiter na ilabas ang mga token ng user nang walang pahintulot mula sa may-ari – o ‘yoink’ ang mga ito, kung papaano. Ayon kay Brad Kay, isang analyst sa The Block Research, ang unang attacker, na tila isang white hat hacker, ay ginamit ang ‘yoink’ function upang i-exploit ang SushiSwap router contract para sa 100 ETH, pagkatapos ay isang ikalawang indibidwal ang sinamantala ang parehong kontrata upang magnakaw ng humigit-kumulang 1800 ETH, sa pagkakataong ito gamit ang function na “notyoink”.

Mga pagsisikap sa pagbawi

Kinumpirma ni Grey sa isang update na higit sa 300 ETH ng nawalang assets ni oxSifu ang na-recover, na may plano pang mabawi ang higit sa 700 Ether. Ang SushiSwap CTO na si Matthew Lilley ay nag-update din na patuloy ang ilang rescue efforts at hinikayat ang mga gumagamit na doblehin ang pag-check ng kanilang mga approvals at i-scan at i-disapprove ang anumang malicious na address na maaaring pinahintulutan para sa alinman sa kanilang mga token. Gayunpaman, tiniyak niya sa mga gumagamit na ligtas gamitin ang Sushi Protocol, dahil ang exposure sa RouterProcessor2 ay isinara na mula sa front end, na tinitiyak na ang liquidity provider at swap activity ay ligtas.

Buong naibalik sa mga biktima

Sinabi ng chief ng Sushi sa Discord na plano ng koponan na maglunsad ng claims website para sa vested tokens sa Merkle Distributor contract ng protocol. Ang site ay magiging live hanggang sa petsa ng expiration ng mga claim sa Abril 23, pagkatapos nito ay ipapadala ang mga hindi na-claim na SUSHI token sa treasury ng SushiSwap. Sa isang update na ibinahagi noong Miyerkules, ang Ethereum-based decentralized exchange ay nag-indika na plano nitong ibalik sa mga apektadong claimants.“Kung ang iyong pondo ay nasa whitehat contract, kung gayon ay nangangahulugan na kinolekta ng mga security expert ang iyong pondo, ligtas na ito at maaaring i-claim sa lalong madaling panahon. Kung ang iyong pondo ay hindi nasa whitehat contract, kailangan mong magsumite ng email o magbukas ng ticket sa aming Discord at isama: ang transaction ID(s) at blockchain(s) data para sa mga nawalang pondo. Ang mga blackhat na pondo ay mas tatagal bago ma-proseso, dahil kailangang manu-manong i-verify ng koponan ang lehitimidad laban sa on-chain data na nagpapatunay sa claim at pagkatapos ay bayaran ito nang naaayon,” SushiSwap tweeted.

Pag-atake ng Ethereum MEV bot

Sa isa pang insidente, isang rogue validator ang nakakuha ng $25M matapos ang isang Ethereum MEV bot exploit noong Abril 3. Ilang Ethereum maximal extractable value (MEV) bots, na tumutulong sa mga arbitrageur at trader na i-optimize ang mga pagkakataon sa kita, ang naging biktima ng isang komplikadong pag-atake na nagdulot ng pagkawala ng $25 milyon sa isang rogue validator.

Narito ang nangyari

Ipinaliwanag ng CertiK na walong MEV transaction ang target, dahil sila ay nagsasagawa ng sandwich trades – na kinabibilangan ng pag-spot ng mga trader na sinusubukang bumili ng token at pagpasok sa gitna ng trade upang kumita. Sa lahat ng mga pangyayaring ito na naganap sa iisang Ethereum block – 6964664, binanggit ng CertiK na ang sandwich trades ay nagsimula sa ilang token, at pagdating ng oras na sila ay nag-swap ng milyun-milyong token, ang rogue validator ay pinapalitan ang reverse transactions.

Sa kabuuan, $25.39 milyon ang napunta sa maling kamay, na may breakdown na inilathala ng security firm – 64.9 WBTC, 7,460.8 WETH, 5,297,649.9 USDC, 3,027,396 USDT, at 1,698,384 DAI. Sa oras ng pagsulat nito, ang mga pondo ay karamihan ay nakapaloob sa tatlong wallet. Tinawag ito ng CertiK na isa sa pinakamalaking MEV bot exploit kailanman, kung saan ang huling ganitong malaking hack ay noong Setyembre 2022, nang 800 ETH sa MEV arbitrage gains ang ninakaw dahil sa kahinaan ng bot.

Kasabay nito, tinawag ito ng blockchain auditor na OtterSec bilang isang pinagplanuhang pag-atake, dahil ang attacker ay nag-preload ng kanilang wallet higit dalawang linggo na ang nakalipas. Natukoy ng CertiK na nabigo ang mga bot na kilalanin ang node validator bilang malicious at iniuugnay ang na-exploit na kahinaan sa sentralisasyon ng kapangyarihan sa pagitan ng mga validator.

Nagpatupad ang Flashbots ng pag-aayos na tampok

Ang Flashbots, ang lumikha ng pangunahing MEV program ng Ethereum, ang MEV-Boost, ay nagsagawa ng mga hakbang upang maiwasan ang pag-ulit ng katulad na isyu. Ipinatupad ng koponan ang isang bagong tampok na nangangailangan sa mga relayer (na nagsisilbing pinagkakatiwalaang tagapamagitan sa pagitan ng mga block builder at validator) na mag-sign ng block at i-publish ito sa Beacon Chain bago ito ipasa sa proposer. Ang hakbang na ito ay dating kulang na ngayon ay makakatulong upang mabawasan ang pagkakataon na ang proposer ay lumihis mula sa natanggap na nilalaman ng relay. Bukod pa rito, sinabi ng CertiK sa CoinTelegraph na maaaring maging pag-aatubili ang ibang MEV searchers na makilahok sa mga non-atomic na estratehiya, kabilang ang sandwich trading, dahil tila sila ang pangunahing target.

Ang mga blacklist ng Tether ay konektado sa isang MEV exploit

Sa linggong ito, ang stablecoin issuer na Tether ay sumulat sa isang tweet noong Abril 10 tweet na ito ay nag-block sa address na ‘Sandwich the Ripper’ na kaugnay ng kamakailang MEV exploit. Ang address ng Tether ay naglaman ng $3 milyon sa USDT, na hindi na maaaring ilipat. Ang exploiter ay may mas malaking bahagi ng ninakaw, kabilang ang $14.3 milyon sa Wrapped Ethereum (WETH) at higit sa $3.6 milyon sa iba pang assets. Lumilitaw na ang Tether ay kumikilos sa mabuting interes at sa makatwirang batayan. Gayunpaman, ang desisyon ay kinritiko ng ilang grupo na naniniwala na ang hakbang ay nagtatakda ng “masamang precedent” sa crypto space. Ang mga block listing na aksyon ng Tether ay maaaring ituring na censorship sa mga transaksyon, na nagpapahiwatig ng sentralisadong awtoridad ng stablecoin issuer. Itinuro ng mga kritiko ang mga alalahanin tungkol sa posibleng pang-aabuso ng kapangyarihan at ang mga implikasyon nito sa DeFi niche.

Binuksan ng Euler ang mga redemption matapos makipag-negosasyon para sa pagbabalik ng lahat ng ninakaw na pondo

Sinabi ng Euler Finance ngayong linggo na natanggap nito ang huling tranche ng mga pagbabayad matapos ang mga negosasyon sa $197 milyon na halaga ng crypto na ninakaw noong nakaraang buwan. Ang protocol ay nagsabi na lahat ng ma-recover na pondo ay naibalik, epektibong nagtatapos sa $1 milyon na reward program para sa impormasyon tungkol sa hack. Kinumpirma ng blockchain analytics firm na Arkham Intelligence na ang permissionless lending protocol ay nakatanggap ng 10,580 ETH na nagkakahalaga ng $19 milyon noong Lunes at karagdagang $12 milyon sa DAI na nahati sa tatlong transaksyon.

Pagkatapos ng insidente noong Marso 21, nagmungkahi ang Euler ng reward na $19.7 milyon – katumbas ng 10% ng ninakaw na halaga – para sa salarin na responsable sa pagnanakaw. Dagdag pa rito, nagbabala sila na isang $1 milyon na reward ay ibibigay sa sinumang magbibigay ng impormasyon tungkol sa attacker kung ang natitirang 90% ng ninakaw na pondo ay hindi maibabalik. Bagaman unang nag-launder sila ng $1.8 milyon sa pamamagitan ng Tornado Cash, nagsimulang ibalik ng attacker ang pera noong Marso 18 – nagsimula sa $1.8 milyon. Ipinagpatuloy ng exploiter ang pagpapadala ng pera, kung saan ang pinakamalaking pagbabalik ay isang lump sum na 58,737 ETH, na nagkakahalaga ng $102 milyon, noong Marso 24.

Sa oras ng pagsulat, kabuuang 95,556 ETH at 43 milyong DAI ang na-recover habang ang halagang 1,100 ETH ay itinuturing na hindi na ma-recover dahil naipadala sa sanctioned coin mixer. Sa gitna ng lahat ng ito, humingi ng paumanhin ang hacker sa isang serye ng on-chain na mensahe mga dalawang linggo na ang nakalipas at nangakong isusuko ang natitirang pondo. Ang mga token na ibinalik noong Lunes ay nagdala sa kabuuang pondo na na-recover mula sa hack sa higit $177 milyon. Ito ay bumubuo ng 90% ng inaasahang ma-recover na pondo matapos isaalang-alang ang 10% na bounty na inalok ng koponan ng Euler. Ang Ethereum-based na noncustodial lending protocol ay nagsabi kalaunan na pinahintulutan na nito ang mga gumagamit na i-redeem ang na-recover na pondo na nagdadala sa pagtatapos ng flash loan exploit na nagdulot ng iba’t ibang kaguluhan. Ang DeFi insurer na Nexus Mutual na nagbayad ng $2.4 milyon sa mga claim para sa kanilang pagkalugi na may kaugnayan sa hack, ay humiling na ang Euler ay mag-refund. Ang Nexus ay diumano’y sumuporta sa Euler sa pamamagitan ng pag-cover sa mga pagkalugi, ngunit walang gumagamit ang talagang nawala ng kanilang assets dahil sa pagbabalik ng pondo.

Iba pang naiulat na insidente ng paglabag sa seguridad

Iniulat ng MetaPoint, isang metaverse project, ngayong linggo na ito ay na-exploit ng isang attacker na nakakuha ng 2,515 BNB. Ang hacker ay nagpadala ng pondo sa Tornado Cash, ayon kay PeckShield. Kinumpirma ng Metaverse project ang insidente sa Telegram dito, at idinagdag na ito ay nag-suspend ng lahat ng operasyon.

Ang Terraport Finance ay tila naging biktima rin ng isang paglabag sa seguridad, halos dalawang linggo matapos mag-launch. Ang mga ulat na lumitaw noong Abril 10 ay nagdetalye na ang liquidity wallet ng protocol ay na-hack ng 2 milyon. Sinabi ng Terraport sa isang update na alam nila ang insidente at naghahanap na imbestigahan ang issuer matapos maprotektahan ang platform.

Sa labas ng DeFi, ang South Korean crypto exchange na GDAC ay sinabi ngayong linggo na ito ay na-hack ng halos $14 milyon. Ang exchange ay pansamantalang nag-suspend ng deposits at withdrawals upang magsagawa ng kinakailangang remediation, ayon kay CEO Han Seunghwan habang kinukumpirma na ang nawalang pondo ay bahagyang higit sa 20% ng kabuuang custodial assets nito. Ayon sa ulat, nakuha ng hacker ang kontrol sa ilang hot wallet ng exchange noong Abril 9 (Korean Standard Time) bago inilipat ang pondo sa wallet na kanilang kontrol. Nawala ng GDAC ang humigit-kumulang 61 BTC, 350.5 ETH, 220,000 USDT, at 10 milyong WEMIX gaming currency.

Ang mga serbisyo ng withdrawal ay nananatiling hindi magagamit: sinabi ni Seunghwan na ang exchange ay nakatuon sa pagsisiyasat nito at hindi pa nakabuo ng plano upang payagan ang muling pagsisimula ng kasalukuyang naka-disable na mga serbisyo. Ang pag-atake sa GDAC ay nagmamarka ng unang malaking hack sa isang centralized crypto exchange ngayong taon, na nangyari higit isang dosenang buwan matapos ang hack sa Crypto.com na umabot sa higit $15 milyon noong Enero.

Ang HTX at Gala Games ay nag-commit ng $50M upang bayaran ang mga partido na apektado ng insidente ng pGALA

Kasunod ng kamakailang kolaborasyon sa pagitan ng Gala Games at crypto exchange na HTX upang palakasin ang Web3 ecosystem ng una, inanunsyo ng dalawa ang plano na mag-distribute ng crypto at software licenses na may halagang hanggang $50 milyon sa mga holder ng GALA token na nagkaroon ng pagkawala sa isang utility token scam sa platform noong nakaraang Nobyembre.

Ang dalawa ay pantay na paghahatiin ang $50 milyon na halaga ng kompensasyon na ibibigay – ang bahagi ng HTX ay $25 milyon, na binubuo ng cash at mga benepisyo sa user na sumasaklaw sa 15 milyong USDT at 10 milyong equities. Sa kabilang banda, mag-iisyu ang Gala Games ng $25 milyon na halaga ng node licenses, at ang programa ay magsisimula ngayong linggo.

Ang insidente na tinutukoy ay kinasasangkutan ng mga hacker na nag-mint ng $1 bilyong halaga ng pGALA – isang wrapped token ng GALA na inisyu ng pNetwork sa BNB Chain. Nang i-dump ang mga token sa PancakeSwap, nagawang i-drain ng mga attacker ang $4.5 milyon mula sa liquidity pool at labis na naapektuhan ang presyo ng token ng GALA.

Isang demanda laban sa pNetwork ay paparating

Ang GameFi project ay noong nakaraang buwan ay nagsimula ng legal na aksyon laban sa pNetwork para sa kanilang papel sa pag-atake. Ang demanda ay nag-aangkin na ang insidente ay nagdulot ng $25 milyon na pinsala sa Gala Games at humiling ng $27.7 milyon upang takpan ang mga gastusin na nauugnay sa breach, karagdagang kompensasyon para sa pinsala, punitive damages, at iba pang relief. Bukod pa rito, inimbitahan ng platform ang iba pang apektadong partido na makipag-ugnayan sa kanilang legal team upang sumali sa paghahanap ng kompensasyon. Ipinahiwatig ng HTX sa kamakailang anunsyo na sinusuportahan nila ang mga pagsisikap na ito. Sa kaganapan ng paborableng hatol, anumang napagkaloob na danyos, bawas ang legal na gastos, ay iko-convert sa mga token ng GALA at pagkatapos ay i-burn.