Décodage des attaques contre Alpha et Cream - Quand la coopération DeFi est mise à l'épreuve. L'article relate le récent piratage et les leçons pour l'espace DeFi.
En 10 minutes, le prix de CREAM s'est parfois effondré de plus de 30%, le prix d'ALPHA a aussi fortement baissé !
La récente attaque de Cream est considérée comme l'une des attaques les plus complexes de l'histoire de DeFi. C'est une bonne histoire sur la mise à l'épreuve de la coopération dans DeFi, une leçon dont tout projet ou investisseur devrait tenir compte.
L'article suivant est référencé à partir de nombreuses sources pour vous envoyer la progression de l'attaque, analyser cet événement et les leçons apprises pour développer l'espace DeFi pour devenir de mieux en mieux.
Commençons!
Développements
Ci-dessous le contrat du hack : https://etherscan.io/tx/0x745ddedf268f60ea4a038991d46b33b7a1d4e5a9ff2767cdba2d3af69f43eb1b
L'IronBank de Cream a été piraté, totalisant 37,5 millions de dollars de dommages.
Sur la base des informations de transaction, l'attaquant utilise Alpha Homora et emprunte des sUSD à IronBank, à chaque fois deux fois plus.
Remarque : Iron Bank est un nouveau produit de Cream, grâce aux projets sur liste blanche d'Iron Bank, ils pourront emprunter des actifs à Cream SANS garantie.
Les détails peuvent être trouvés ici.
L'attaquant effectue d'abord 2 transactions et envoie des actifs à IronBank pour recevoir des cySUSD. Ensuite, en utilisant le flashloan d'Aave v2, il a procédé à la conversion de l'USDC en sUSD via Curve.
L'attaquant envoie ensuite des sUSD à IronBank, lui permettant de continuer à emprunter, prêter et recevoir des cySUSD (une partie des sUSD est utilisée pour payer les frais de transaction). En outre, 10 millions USD ont été empruntés à l'aide de prêts flash et ont continué à être utilisés pour augmenter le montant de cySUSD.
Au final, l'attaquant possédait tellement de cySUSD qu'il était capable d'emprunter n'importe quoi à Ironbank.
À ce stade, l'attaquant emprunte :
Enfin il :
Le drame commence !!
L'attaque a causé beaucoup de dégâts à Cream Finance, mais bientôt le projet a tweeté que son protocole fonctionnait correctement et n'avait pas été piraté.
Si Cream n'était pas la victime, alors qui était celui qui était attaqué ? Tous les yeux ont commencé à se concentrer sur Alpha Finance, mais le projet comportait des étapes de traitement rapides et des informations entièrement mises à jour pour les utilisateurs après seulement quelques heures.
Un aperçu des rapports d'incident d'Alpha
Remarque : Cela ne fait pas perdre directement leurs actifs aux prêteurs de Cream, mais ils contractent une énorme dette auprès d'Alpha Homora.
Qui est la victime ?
Cream et Alpha, alors qui est la victime ?
Les parties impliquées dans l'attaque comprennent:
À l'heure actuelle:
Avec l'analyse ci-dessus, Alpha devrait être la partie pour compenser les dommages de Cream. Cependant, d'un point de vue technique, Cream est la partie responsable de la sécurisation des actifs du prêteur. Alpha peut donc renoncer complètement à toute responsabilité et annuler la coopération, laissant cette créance irrécouvrable aux utilisateurs de Cream.
Bien sûr, avec la réputation et le succès du présent, la capacité d'Alpha à le faire est très faible. Mais l'attaque a mis en évidence un problème existant avec la collaboration entre les projets dans DeFi.
Conséquence
La prochaine chose intéressante est que même si l'attaque a été menée dans le cadre du contrat d'Alpha, c'est Cream qui a le plus souffert. Les AUM (actifs sous gestion) de Cream sont passés de 700 millions à 200 millions en seulement 1 jour et le prix du jeton a chuté de 30 %. En revanche, l'AUM d'Alpha n'a diminué que de 10 % et la vente de jetons a été insignifiante.
La cause de ce paradoxe peut être due à :
Prêter à un marché avec un effet de levier x9 était trop risqué même avant l'attaque, et les prêteurs de Cream en sont de plus en plus conscients.
Leçon
Ces attaques ont prouvé que la DeFi est encore très jeune à l'heure actuelle et le risque est grand pour les utilisateurs. L'audit prend beaucoup de temps et coûte cher et même après l'audit, si le produit ne correspond pas au goût, tout échouera.
Alpha a audité deux fois et a quand même été piraté, l'attaque était si complexe qu'il a fallu des heures aux développeurs et aux chercheurs pour comprendre la nature du problème.
La semaine dernière, yDAI (le coffre-fort de 1 an) a été piraté, l'équipe de développement a trouvé une solution pour ouvrir le trésor afin de compenser tout le monde pour les dommages. Cependant, avec Alpha, le marché qui accepte leurs jetons comme dette est trop petit, donc si Alpha veut compenser, il devra conclure un accord séparé avec les prêteurs.
Parmi les attaques ci-dessus, de nombreuses solutions seront nécessaires pour assurer la sécurité et la sûreté des projets et des utilisateurs. Voici quelques suggestions :
Épilogue
La frontière entre risque et efficacité sera de plus en plus testée, et chaque attaque est une leçon pour DeFi de mûrir.
Pour les investisseurs eux-mêmes, avant de s'engager dans un projet, une bonne allocation du capital et prendre le temps de comprendre le système est un pré-requis. De plus, être témoin de la décision et de l'action du projet après avoir été attaqué est également un bon test pour voir si l'équipe de développement est vraiment passionnée par son produit.
"Les rendements vont de pair avec le risque"
Lien de référence : https://defiweekly.substack.com/p/efab8b4a-5b1d-4d87-8a64-913070ec328f
Un cadre pratique pour repérer les portefeuilles crypto potentiellement liés à des initiés, en utilisant la concentration des détenteurs, les liens des déployeurs, les modèles de financement, les étiquettes et le comportement sur la chaîne.
Apprenez à trader les cryptomonnaies à base de mèmes en respectant un budget de risque, en effectuant une analyse approfondie des jetons, en assurant la sécurité de votre portefeuille, en exécutant soigneusement les opérations, en définissant des règles de sortie et en tenant à jour vos documents fiscaux.
Apprenez à utiliser KuCoin P2P pour acheter et vendre des cryptomonnaies, vérifier les paiements, choisir les offres, éviter les arnaques courantes et gérer les litiges en toute sécurité.
Découvrez ce que sont les airdrops de cryptomonnaies, comment fonctionnent les règles d'éligibilité, quels mythes éviter et comment saisir les meilleures opportunités sans risquer votre portefeuille.
Découvrez comment résoudre les problèmes de vérification KYC sur Binance, Bybit et OKX en corrigeant les problèmes de documents, de selfies, de données et de compte.
Learn how spot trading and margin trading differ in crypto, including ownership, leverage, liquidation risk, costs, order types, and beginner risk checks.
Learn how honeypot crypto scams block token sales, how to check sell simulations, taxes, liquidity, and contract controls before risking funds.
Découvrez le fonctionnement des arnaques de type « pump and dump », les signes avant-coureurs à surveiller et les mesures pratiques à prendre pour protéger votre capital contre les actions et les crypto-actifs manipulés.
Apprenez comment récupérer en toute sécurité un compte d'échange de cryptomonnaies bloqué, préparer les documents de vérification, effectuer les contrôles de sécurité, éviter les arnaques et gérer les retards d'examen.
Learn how Binance Dual Investment works, including Buy Low, Sell High, settlement, APR, liquidity limits, market risk, and Auto-Compound.
