Dekodowanie ataków na Alpha i Cream - Kiedy współpraca z DeFi zostaje wystawiona na próbę. Artykuł opowiada o ostatnim włamaniu i lekcjach dotyczących przestrzeni DeFi.
W ciągu 10 minut cena CREAM czasami spadała o ponad 30%, cena ALPHA również gwałtownie spadła!
Niedawny atak Cream jest uważany za jeden z najbardziej złożonych ataków w historii DeFi. To dobra opowieść o testowaniu współpracy w DeFi, lekcja, którą każdy projekt czy inwestor powinien wziąć pod uwagę.
Poniższy artykuł jest przywoływany z wielu źródeł, aby przesłać ci postępy ataku, przeanalizować to wydarzenie i wnioski wyciągnięte z rozwoju przestrzeni DeFi, aby stać się coraz lepszym.
Zacznijmy!
Rozwój
Poniżej znajduje się umowa włamania: https://etherscan.io/tx/0x745ddedf268f60ea4a038991d46b33b7a1d4e5a9ff2767cdba2d3af69f43eb1b
Zhakowany został IronBank należący do firmy Cream, powodując szkody w wysokości 37,5 miliona dolarów.
Na podstawie informacji o transakcji atakujący używa Alpha Homora i pożycza sUSD od IronBank, za każdym razem dwa razy więcej.
Uwaga : Iron Bank to nowy produkt Cream, dzięki projektom z białej listy Iron Bank będzie można pożyczać aktywa od Cream BEZ zabezpieczenia.
Szczegóły znajdziesz tutaj.
Atakujący najpierw dokonuje 2 transakcji i wysyła aktywa do IronBank, aby otrzymać cySUSD. Następnie, korzystając z Flashloan z Aave v2, przystąpił do konwersji USDC na sUSD za pośrednictwem Curve.
Atakujący wysyła następnie sUSD do IronBank, co pozwala mu na kontynuowanie pożyczania i otrzymywania cySUSD (część sUSD służy do opłacania opłat transakcyjnych). Ponadto za pomocą pożyczek flash pożyczono 10 mln USD , które nadal służyły do zwiększania kwoty cySUSD.
W końcu atakujący posiadał tyle cySUSD, że był w stanie pożyczyć cokolwiek od Ironbanku.
W tym momencie atakujący pożycza:
Wreszcie on:
Rozpoczyna się dramat!!
Atak spowodował wiele szkód dla Cream Finance, ale wkrótce projekt napisał na Twitterze, że ich protokół działa poprawnie i nie został zhakowany.
Jeśli Cream nie był ofiarą, to kto został zaatakowany? Wszystkie oczy zaczęły skupiać się na Alpha Finance, ale projekt miał szybkie etapy przetwarzania i w pełni zaktualizowane informacje dla użytkowników już po kilku godzinach.
Przegląd raportów o incydentach z Alpha
Uwaga : nie powoduje to, że pożyczkodawcy Cream bezpośrednio tracą swoje aktywa, zamiast tego zaciągają ogromny dług od Alpha Homora.
Kim jest ofiara?
Cream i Alpha, więc kto jest ofiarą?
Strony zaangażowane w atak to:
Już teraz:
Przy powyższej analizie Alpha powinna być stroną, która zrekompensuje obrażenia Cream. Jednak z technicznego punktu widzenia stroną odpowiedzialną za zabezpieczenie aktywów pożyczkodawcy jest Cream. Alpha może więc całkowicie zrzec się odpowiedzialności i anulować współpracę, pozostawiając ten nieściągalny dług użytkownikom Cream.
Oczywiście, biorąc pod uwagę reputację i sukces teraźniejszości, zdolność Alpha do tego jest bardzo niska. Jednak atak ujawnił istniejący problem ze współpracą między projektami w DeFi.
Konsekwencja
Następną ciekawostką jest to, że chociaż atak został przeprowadzony za pośrednictwem kontraktu Alfy, bardziej ucierpiała Cream. AUM firmy Cream (aktywa pod zarządzaniem) spadło z 700 milionów do 200 milionów w ciągu zaledwie jednego dnia, a cena tokena spadła o 30%. W przeciwieństwie do tego, AUM Alpha spadło tylko o 10%, a wyprzedaż tokenów była nieznaczna.
Przyczyną tego paradoksu mogą być:
Pożyczanie na rynek z dźwignią x9 było zbyt ryzykowne nawet przed atakiem, a pożyczkodawcy Cream stają się coraz bardziej tego świadomi.
Lekcja
Ataki te dowiodły, że DeFi jest obecnie wciąż bardzo młoda, a ryzyko dla użytkowników jest duże. Audyt jest bardzo czasochłonny i kosztowny i nawet po przeprowadzeniu audytu, jeśli produkt nie będzie pasował do smaku, wszystko się zawiedzie.
Alpha dwukrotnie skontrolowała i nadal została zhakowana, atak był tak złożony, że zrozumienie natury problemu zajęło programistom i badaczom wiele godzin.
W zeszłym tygodniu zhakowano yDAI (1 Yearn's Vault), zespół programistów wymyślił rozwiązanie, aby otworzyć skarbiec, aby zrekompensować wszystkim szkody. Jednak w przypadku Alpha rynek, który akceptuje ich tokeny jako dług, jest zbyt mały, więc jeśli Alpha chce to zrekompensować, będzie musiała zawrzeć osobną umowę z pożyczkodawcami.
Z powyższych ataków potrzebnych będzie wiele rozwiązań zapewniających bezpieczeństwo i bezpieczeństwo zarówno projektów, jak i użytkowników. Kilka sugestii to:
Epilog
Granica między ryzykiem a skutecznością będzie coraz częściej testowana, a każdy atak jest lekcją dla DeFi, aby dojrzała.
Dla samych inwestorów, przed przystąpieniem do projektu, warunkiem wstępnym jest odpowiednia alokacja kapitału i poświęcenie czasu na zrozumienie systemu. Ponadto obserwowanie decyzji i działań związanych z projektem po zaatakowaniu jest również dobrym testem, aby sprawdzić, czy zespół programistów naprawdę pasjonuje się swoim produktem.
„Zwroty idą w parze z ryzykiem”
Link referencyjny: https://defiweekly.substack.com/p/efab8b4a-5b1d-4d87-8a64-913070ec328f
Dowiedz się, dlaczego wypłaty z Binance mogą zostać zawieszone, jak zidentyfikować ograniczenia konta lub sieci oraz jakie najbezpieczniejsze kroki należy podjąć, aby przywrócić dostęp lub spróbować ponownie.
Dowiedz się, jak działają narzędzia do konwersji giełd kryptowalut, kiedy zamiana jest naprawdę bezpłatna, jak porównywać oferty i spready oraz jak bezpiecznie dokonać konwersji.
Brakuje Ci wpłaty kryptowalut na Coinbase lub Binance? Sprawdź potwierdzenia, sieć, adres, notatkę lub tag oraz prawidłową ścieżkę odzyskiwania.
Dowiedz się, jak obliczać stosunek ryzyka do zysku w kryptowalutach, określać wielkość pozycji, uwzględniać opłaty i poślizgi oraz jak korzystać z wielokrotności R, aby konsekwentnie zarządzać transakcjami.
Learn how Ethereum gas fees work, what base fees and priority fees mean, and practical ways to reduce transaction costs safely.
Learn how to verify crypto founders and developers using public, independent evidence without doxxing, exposing private data, or risking your wallet.
Dowiedz się, jak czerpać zyski z monet memowych, stosując etapowe wyjścia, kontrole płynności, limity ryzyka, świadomość podatkową i jasne zasady przed gwałtownym odwróceniem trendu.
Dowiedz się, jak kryptowalutowa DCA działa w czasie bessy, jakie ryzyko może ograniczyć, przed czym nie może Cię ochronić i jak opracować zdyscyplinowany plan, nie myląc go z bezpieczeństwem.
Dowiedz się, jak odczytywać wzorce kryptograficznych świec, wykorzystując OHLC, korpusy świec, knoty, kontekst trendu, potwierdzenie i kontrolę ryzyka — nie traktując wzorców jako gwarancji.
Dowiedz się, jak rozwiązywać spory dotyczące płatności kryptowalutowych P2P, porównaj okres oczekiwania i odwołania, zabezpiecz dowody, unikaj ryzykownych wydań i eskaluj spory poprzez wsparcie giełdy.
