Decriptarea atacurilor asupra Alpha și Cream - Când colaborarea DeFi este pusă la încercare

Decodarea atacurilor asupra Alpha și Cream - Când cooperarea DeFi este pusă la încercare. Articolul relatează recentul hack și lecțiile pentru spațiul DeFi.

În 10 minute, prețul CREMA s-a prăbușit uneori cu mai mult de 30%, prețul ALPHA a scăzut și el brusc!

Recentul atac Cream este considerat unul dintre cele mai complexe atacuri din istoria DeFi. Aceasta este o poveste bună despre punerea la încercare a cooperării în DeFi, o lecție pe care orice proiect sau investitor ar trebui să o țină seama.

Următorul articol este referit din mai multe surse pentru a vă transmite progresul atacului, a analiza acel eveniment și lecțiile învățate pentru a dezvolta spațiul DeFi pentru a deveni din ce în ce mai bun. 

Să începem!

Evoluții

Mai jos este contractul hack-ului: https://etherscan.io/tx/0x745ddedf268f60ea4a038991d46b33b7a1d4e5a9ff2767cdba2d3af69f43eb1b

IronBank de la Cream a fost spart, în valoare totală de 37,5 milioane de dolari. 

Pe baza informațiilor despre tranzacție, atacatorul folosește Alpha Homora și împrumută sUSD de la IronBank, de fiecare dată de două ori mai mult.

Notă : Iron Bank este un produs nou al Cream, prin proiectele Iron Bank aflate pe lista albă vor putea împrumuta active de la Cream FĂRĂ garanții. 

Detalii pot fi găsite aici.

Atacatorul face mai întâi 2 tranzacții și trimite active la IronBank pentru a primi cySUSD. Apoi, folosind împrumut flash de la Aave v2, a trecut la conversia USDC în sUSD prin Curve.

Atacatorul trimite apoi sUSD la IronBank, permițându-i să continue să împrumute, să împrumute și să primească cySUSD (o parte din sUSD este folosită pentru a plăti comisioane de tranzacție). În plus, 10 milioane USD au fost împrumutate folosind împrumuturi flash și au continuat să fie utilizate pentru a crește suma de cySUSD.

În cele din urmă, atacatorul deținea atât de mult cySUSD încât a putut să împrumute orice de la Ironbank.

În acest moment, atacatorul împrumută:

• 13,2K WETH
• 3,6 milioane USDC
• 5,6 MILIONE USD
• 4,2 M LUNGIME

In sfarsit el:

• Depuneți stablecoins la Aave V2.
• 1k ETH „caritate: înapoi la IronBank și Homora.
• Spălarea banilor (220 ETH) prin Tornado Cash.
• Iar restul de aproximativ 11k ETH se află în adresa portofelului atacatorului.

Începe drama!!

Atacul a cauzat multe daune Cream Finance, dar în curând proiectul a transmis pe Twitter că protocolul lor funcționează corect și nu a fost piratat.

Dacă Cream nu a fost victima, atunci cine a fost atacat? Toți ochii au început să se concentreze asupra Alpha Finance, dar proiectul a avut pași de procesare rapidi și informații complet actualizate pentru utilizatori după doar câteva ore.

O prezentare generală a rapoartelor de incidente de la Alpha

1. Atacatorul împrumută ETH de la Cream's Ironbank folosind sUSD drept garanție.
2. Atacatorul rambursează împrumutul în USD. Cu toate acestea, din cauza unei erori în produsul Alpha, un atacator poate câștiga o sumă mică de bani prin aceasta.
3. Repetați până când acel număr încrucișează 7 numere.
4. În acest moment Alpha Homora avea o datorie uriașă cu IronBank, dar bineînțeles că debitorul deja fugea.
5. El a spălat bani prin Tornado Cash și a dat înapoi 1.000 de ETH către Alpha și Cream.

Notă : Acest lucru nu îi determină pe creditorii Cream să-și piardă activele în mod direct, ci contractează o datorie uriașă de la Alpha Homora. 

Cine este victima?

Cream și Alpha, deci cine este victima?

Părțile implicate în atac includ:

• Cream v2 : Am acceptat integrarea intensivă la nivel de contract cu Alpha Homora v2.
• Alpha Homora v2 : conveniți la nivel de contract să împrumutați active de la Cream v2 fără garanții.
• Creditor pe Cream : Când comunitatea este de acord cu un acord privind o cooperare intensă între Cream și Alpha, înseamnă că creditorul nu doar împrumută utilizatorilor Cream, ci și utilizatorilor Alpha Homora v2.
• Împrumutat pe Alpha : Similar cu împrumutatul pe Alpha, nu numai că împrumuta de la Alpha, ci și de la Cream v2. Atacatorul aparține acestui grup și este clasificat drept un împrumutat cu intenții rele.

Chiar acum:

• La un nivel fundamental : Alpha Homora datorează Cream v2.
• Privind mai profund : activele de la creditorii de pe Cream sunt împrumutate de către partea cu intenții rele.

Cu analiza de mai sus, atunci Alpha ar trebui să fie partea care să compenseze daunele produse de Cream. Cu toate acestea, din punct de vedere tehnic, Cream este partea responsabilă cu asigurarea activelor creditorului. Așa că Alpha poate renunța complet la responsabilitate și poate anula cooperarea, lăsând acea datorie necorespunzătoare utilizatorilor Cream.

Desigur, având în vedere reputația și succesul prezentului, capacitatea Alpha de a face acest lucru este foarte scăzută. Dar atacul a evidențiat o problemă existentă cu colaborarea între proiectele din DeFi.

Consecinţă

Următorul lucru interesant este că, deși atacul a fost efectuat prin contractul lui Alpha, Cream a fost cel care a suferit mai mult. AUM (activele gestionate) ale Cream a scăzut de la 700 de milioane la 200 de milioane în doar o zi, iar prețul tokenului a scăzut cu 30%. În schimb, AUM al Alpha a scăzut doar cu 10%, iar vânzarea de simboluri a fost nesemnificativă.

Cauza acestui paradox se poate datora:

1. Crema a fost prima care a ieșit la iveală, așa că vânzările în panică au avut un impact puternic asupra lor.
2. Creditorii de la Cream și-au dat seama că sunt cei care au suferit cel mai mult (în afară de scăderea prețurilor token-urilor, utilizatorii Alpha nu au suferit aproape nimic).

Împrumutul către o piață cu efect de levier x9 era prea riscant chiar înainte de atac, iar creditorii Cream devin din ce în ce mai conștienți de acest lucru.

Lecţie

Aceste atacuri au dovedit că DeFi este încă foarte tânăr în prezent și riscul este mare pentru utilizatori. Auditul este foarte consumator de timp și costisitor și chiar și după ce se face auditul, dacă produsul nu se potrivește cu gustul, totul va eșua. 

Alpha a auditat de două ori și tot a fost piratat, atacul a fost atât de complex încât dezvoltatorilor și cercetătorilor le-au luat ore întregi pentru a înțelege natura problemei. 

Săptămâna trecută, yDAI (1 Yearn's vault) a fost spart, echipa de dezvoltare a venit cu o soluție pentru a deschide trezoreria pentru a compensa pe toată lumea pentru daune. Cu toate acestea, cu Alpha, piața care își acceptă jetoanele drept datorie este prea mică, așa că dacă Alpha dorește să compenseze, va trebui să încheie un acord separat cu creditorii.

Din atacurile de mai sus, vor fi necesare multe soluții pentru a asigura securitatea și siguranța atât a proiectelor, cât și a utilizatorilor. Câteva sugestii includ:

1. Efectuați teste automate și comparați și asigurați-vă continuu corectitudinea algoritmului.
2. Scale TVL asigură încet siguranța în fiecare etapă pentru a minimiza daune cât mai scăzute posibil.

Epilog

Limita dintre risc și eficacitate va fi testată din ce în ce mai mult, iar fiecare atac este o lecție pentru a se maturiza DeFi.

Pentru investitorii înșiși, înainte de a intra într-un proiect, alocarea adecvată a capitalului și acordarea de timp pentru a înțelege sistemul este o condiție prealabilă. În plus, a fi martor la decizia și acțiunea proiectului după ce a fost atacat este, de asemenea, un bun test pentru a vedea dacă echipa de dezvoltare este cu adevărat pasionată de produsul lor.

„Returnările merg mână în mână cu riscul”

Link de referință: https://defiweekly.substack.com/p/efab8b4a-5b1d-4d87-8a64-913070ec328f