Анализ эксплойта ман ипуляции оракулом на $700 тыс. выявляет уязвимости в DeFi-хранилищах
Краткий обзор В феврале атака с манипуляцией оракулом затронула DeFi-протоколы в сети Ethereum Layer 2 ZKsync, включая Venus Protocol, который понес убытки в размере $717,000 из-за плохих долгов. Злоумышленник манипулировал обменным курсом обернутого доходного стейблкоина wUSDM от Mountain Protocol, используя флэш-кредит и эксплуатируя уязвимость на основе пожертвований в стандартных токенизированных хранилищах ERC-4626.
Недавняя атака на децентрализованные финансы подчеркивает, как уязвимости в стандартной реализации некоторых DeFi-хранилищ могут быть использованы опытным злоумышленником, использующим знакомые инструменты, такие как флэш-кредиты, для манипуляции обменными курсами и введения в заблуждение ценовых оракулов.
27 февраля злоумышленник осуществил атаку "пожертвования" на основе флэш-кредита, взяв в долг около 4 миллионов долларов у Aave, чтобы использовать токен хранилища ERC-4626 для обернутой доходной стабильной монеты Mountain Protocol, wUSDM, искусственно завысив его внутренний обменный курс. Основная стабильная монета, USDM, обеспечена краткосрочными казначейскими облигациями США.
В рамках атаки пожертвования злоумышленник завысил обменный курс wUSDM с 1.06 до 1.7, затем использовал два аккаунта для самоликвидации на платформе кредитования Venus Protocol. Хотя Venus быстро отреагировала, заморозив рынок, злоумышленник смог получить прибыль около 200,000 долларов, в то время как Venus понесла чистые убытки более 716,000 долларов, согласно подробному отчету, недавно выпущенному фирмой по управлению рисками Chaos Labs.
"Обе команды внедрили соответствующие экстренные меры — заморозка рынков, корректировка параметров риска и сброс обменного курса," сказал Йони Кесельбренер, глава DeFi в Lightblocks Labs, в интервью The Block. Кесельбренер вносит вклад в инфраструктуру оракулов на eOracle, сети оракулов, разработанной на EigenLayer, которая позволяет интегрировать реальные данные в децентрализованные приложения.
Атакованное хранилище реализует стандарт ERC-4626 для токенизированных хранилищ, впервые представленный в мае 2022 года, хотя позже хранилища стали популярными. Однако стандарт хранилища "...не включает защитные механизмы против манипулируемых обменных курсов при использовании в кредитных протоколах," согласно отчету.
Платформа кредитования Euler Finance опубликовала исследовательский отчет о уязвимостях хранилищ ERC-4626 в январе 2024 года, утверждая, что большинство хранилищ не явно реализуют проверки безопасности для предотвращения манипуляции обменными курсами. "Мы ожидаем, что во многих случаях может потребоваться комбинирование двух или более механизмов смягчения для достижения большего эффекта," написали авторы.
Chaos Labs признала в своем отчете, что стратегии безопасности могли бы предотвратить атаку. "Чтобы смягчить этот вектор атаки, контракты wUSDM могли бы использовать кросс-чейн оракул обменного курса, или, после надлежащего раскрытия информации, Venus внедрила бы меры безопасности для ограничения роста обменного курса," написала Chaos Labs. "Для дальнейшего смягчения этого вектора атаки будет внедрена установка оракула с ограничением роста — такая как механизм CAPO от Aave — для всех активов с доходностью, предотвращая манипуляции через искусственные всплески доходности."
"Это применимо к любому хранилищу [кстати], не только стандартизированному," добавил аккаунт X Curve Finance в ответ на обсуждение уязвимости Кесельбренером. "Просто распространенная ошибка кредитных платформ."
Кесельбренер сказал, что стандарт CAPO эффективен, но требует "...дополнительной сложности кода и постоянного управления, чтобы гарантировать, что они не ограничивают законный рост доходности, предотвращая манипуляции."
"По мере усложнения DeFi нам нужно думать не только о простых ценовых фидах, чтобы понять весь профиль риска активов, которые мы интегрируем," сказал Кесельбренер. "Необходимость в кросс-чейн инфраструктуре оракулов не является недостатком, а дополнительным уровнем безопасности. Специализированные поставщики оракулов также могут внедрять конкретные защитные механизмы, предназначенные для обнаружения и предотвращения этих точных сценариев манипуляции."
Дисклеймер: содержание этой статьи отражает исключительно мнение автора и не представляет платформу в каком-либо качестве. Данная статья не должна являться ориентиром при принятии инвестиционных решений.
Вам также может понравиться
Перед публикацией отчетности за третий квартал Samsung Electronics и SK Hynix сталкиваются с "очень высокими ожиданиями", что станет испытанием для "глобальной AI-торговли".
Волна искусственного интеллекта стимулирует глобальный «суперцикл» полупроводников, объединённая операционна я прибыль Samsung и SK Hynix в третьем квартале может приблизиться к историческому рекорду — 190 триллионам южнокорейских вон. Борьба за HBM4 становится всё более напряжённой, спрос на пропускную способность памяти со стороны агентов AI вырос в десять раз, память становится настоящей «кровью» AI-центров обработки данных. Два будущих финансовых отчёта определят, является ли этот расцвет всего лишь кратковременным явлением, или он приведёт к структурной трансформации технологической инфраструктуры.
Руководитель Meta AI Александр Ван: почему я создаю Muse
Muse за 12 дней после запуска собрал 2,8 миллиона скачиваний, превзойдя показатели ChatGPT за аналогичный период, и установил новый рекорд в США — 264 тысячи скачиваний за день. В результате рыночная капитализация Meta выросла на 234 миллиарда долларов. За этими успехами стоит открытое письмо главного AI-директора Alexandr Wang о "человеческих стремлениях" и легендарное приобретение, когда Марк Цукерберг был высмеян за "безумную" сделку на 14,3 миллиарда долларов: теперь это считается одной из самых выгодных покупок талантов в истории Кремниевой долины.
UBS: сохраняет нейтральный рейтинг Tesla (TSLA.US), целевая цена 385 долларов. Логика ценообразования акций определяется AI-нарративом.
UBS прогнозирует, что глобальные поставки Tesla в третьем квартале 2026 года составят около 470 000 единиц, что на 5% меньше по сравнению с аналогичным периодом прошлого года и на 1% меньше по сравнению с предыдущим кварталом.
AI-бум противостоит «5% доходности по казначейским облигациям США»! Nasdaq обновляет исторический максимум, укрепляя структуру «80/20», Уолл-стрит пересматривает соотношение акций и облигаций
Доходность 30-летних государственных облигаций США достигала примерно 5,53%, что является самым высоким уровнем с 2004 года; цена Brent по-прежнему превышает 100 долларов за баррель. Рискованные активы вновь выдержали давление, что отражает уверенность инвесторов в том, что коммерциализация приложений AI и рост корпоративной прибыли способны в определённой мере компенсировать влияние повышения стоимости финансирования и ставки дисконтирования.
Цены на крипто
Далее
