Атаки декодирования на Alpha и Cream — когда сотрудничество DeFi подвергается испытанию. В статье рассказывается о недавнем взломе и уроках для пространства DeFi.
Цена на СЛИВ за 10 минут иногда обваливалась более чем на 30%, цена на АЛЬФУ тоже резко падала!
Недавняя атака Cream считается одной из самых сложных атак в истории DeFi. Это хорошая история о проверке сотрудничества в DeFi, урок, который должен усвоить любой проект или инвестор.
В следующей статье используются ссылки из многих источников, чтобы сообщить вам о ходе атаки, проанализировать это событие и извлечь уроки для развития пространства DeFi, чтобы оно становилось все лучше и лучше.
Давайте начнем!
События
Ниже приведен контракт на взлом: https://etherscan.io/tx/0x745ddedf268f60ea4a038991d46b33b7a1d4e5a9ff2767cdba2d3af69f43eb1b .
IronBank Cream был взломан, общий ущерб составил 37,5 миллионов долларов.
Судя по информации о транзакции, злоумышленник использует Alpha Homora и занимает у IronBank sUSD, каждый раз в два раза больше.
Примечание : Iron Bank — это новый продукт Cream, через проекты, включенные в белый список Iron Bank, они смогут брать активы у Cream БЕЗ залога.
Подробности можно найти здесь.
Злоумышленник сначала совершает 2 транзакции и отправляет активы в IronBank для получения cySUSD. Затем, используя flashloan от Aave v2, он приступил к конвертации USDC в sUSD через Curve.
Затем злоумышленник отправляет sUSD в IronBank, что позволяет ему продолжать занимать, кредитовать и получать cySUSD (часть sUSD используется для оплаты комиссий за транзакцию). Кроме того, 10 миллионов долларов США были заимствованы с использованием экспресс-кредитов , которые продолжали использоваться для увеличения суммы cySUSD.
В конце концов, у злоумышленника было столько cySUSD, что он смог занять что угодно в Ironbank.
В этот момент злоумышленник заимствует:
Наконец он:
Драма начинается!!
Атака нанесла большой ущерб Cream Finance, но вскоре проект написал в Твиттере, что их протокол работает исправно и не был взломан.
Если Крим не был жертвой, то на кого напали? Все внимание было приковано к Alpha Finance, но в проекте были быстрые этапы обработки и полностью обновлялась информация для пользователей уже через несколько часов.
Обзор отчетов об инцидентах от Alpha
Примечание : это не приводит к прямой потере активов кредиторами Cream, вместо этого они берут на себя огромный долг от Alpha Homora.
Кто жертва?
Крем и Альфа, так кто жертва?
Стороны, участвующие в нападении, включают:
Прямо сейчас:
Исходя из приведенного выше анализа, Альфа должен быть стороной, компенсирующей ущерб Крима. Однако с технической точки зрения Cream является стороной, ответственной за сохранность активов кредитора. Таким образом, Alpha может полностью снять с себя ответственность и прекратить сотрудничество, оставив этот безнадежный долг пользователям Cream.
Конечно, при нынешней репутации и успехе возможности Альфы сделать это очень малы. Но атака высветила существующую проблему с сотрудничеством между проектами в DeFi.
Последствие
Следующий интересный момент заключается в том, что хоть атака и была проведена по контракту Альфы, больше пострадал именно Cream. AUM (активы под управлением) Cream упали с 700 миллионов до 200 миллионов всего за 1 день, а цена токена упала на 30%. Напротив, AUM Alpha уменьшился только на 10%, а продажа токенов была незначительной.
Причиной этого парадокса может быть:
Кредитование рынка с кредитным плечом x9 было слишком рискованным даже до атаки, и кредиторы Cream все больше осознают это.
Урок
Эти атаки доказали, что DeFi в настоящее время все еще очень молод, и риск для пользователей велик. Аудит требует очень много времени и денег, и даже после проведения аудита, если продукт не соответствует вкусу, все будет провалено.
Alpha дважды проходила аудит и все равно была взломана, атака была настолько сложной, что разработчикам и исследователям потребовались часы, чтобы понять природу проблемы.
На прошлой неделе yDAI (хранилище 1 Yearn's) было взломано, команда разработчиков придумала решение открыть сокровищницу, чтобы компенсировать всем ущерб. Однако с Alpha рынок, который принимает их токены в качестве долга, слишком мал, поэтому, если Alpha хочет компенсировать, ей придется заключить отдельное соглашение с кредиторами.
Из вышеперечисленных атак потребуется множество решений для обеспечения безопасности как проектов, так и пользователей. Несколько предложений включают в себя:
Эпилог
Грань между риском и эффективностью будет проверяться все больше и больше, и каждая атака — это урок для взросления DeFi.
Для самих инвесторов перед тем, как приступить к проекту, необходимым условием является правильное распределение капитала и время, необходимое для понимания системы. Кроме того, наблюдение за решением и действиями проекта после атаки также является хорошим тестом, чтобы увидеть, действительно ли команда разработчиков увлечена своим продуктом.
«Доходность идет рука об руку с риском»
Ссылка на ссылку: https://defiweekly.substack.com/p/efab8b4a-5b1d-4d87-8a64-913070ec328f
Узнайте, как работают инструменты конвертации на криптовалютных биржах, когда обмен действительно осуществляется без комиссии, как сравнивать котировки и спреды, а также как безопасно совершить конвертацию.
Пропустили пополнение криптовалютного счета на Coinbase или Binance? Проверьте подтверждения, сеть, адрес, примечание или тег, а также правильный путь восстановления.
Узнайте, как рассчитывать соотношение риска и прибыли при торговле криптовалютами, определять размер позиций, учитывать комиссии и проскальзывание, а также использовать мультипликаторы R для последовательного управления сделками.
Узнайте, как работают комиссии за газ в Ethereum, что означают базовые и приоритетные комиссии, а также практические способы безопасного снижения транзакционных издержек.
Узнайте, как проверить подлинность основателей и разработчиков криптовалют, используя общедоступные, независимые доказательства, без раскрытия личных данных, разглашения конфиденциальной информации или риска для своего кошелька.
Узнайте, как фиксировать прибыль на мем-монетах, используя поэтапные выходы, проверки ликвидности, лимиты риска, налоговую осведомленность и четкие правила до резкого разворота.
Узнайте, как работает крипто-DCA на медвежьих рынках, какие риски он может снизить, от чего он не может защитить и как разработать дисциплинированный план, не принимая его за безопасность.
Узнайте, как читать паттерны криптотравмированных свечей, используя OHLC, тела свечей, фитили, контекст тренда, подтверждения и средства контроля рисков, — не рассматривая паттерны как гарантию.
Узнайте, как разрешать споры по P2P-платежам в криптовалюте, сравнивать ожидание и обжалование, сохранять доказательства, избегать рискованных разблокировок и обращаться в службу поддержки биржи для эскалации проблем.
Потеряли приложение-аутентификатор? Узнайте, как Coinbase, Binance, Kraken и OKX обрабатывают восстановление после двухфакторной аутентификации, сброс настроек безопасности, проверку личности и блокировку вывода средств.
