ถอดรหัสการโจมตีอัลฟ่าและครีม - เมื่อ DeFi Collaboration ถูกทดสอบ

การถอดรหัสการโจมตีบนอัลฟ่าและครีม - เมื่อความร่วมมือของ DeFi ถูกทดสอบ บทความนี้กล่าวถึงการแฮ็กและบทเรียนล่าสุดสำหรับพื้นที่ DeFi

ใน 10 นาที ราคาของครีมบางครั้งลดลงมากกว่า 30% ราคาของ ALPHA ก็ลดลงอย่างรวดเร็วเช่นกัน!

การโจมตีด้วยครีมครั้งล่าสุดถือเป็นหนึ่งในการโจมตีที่ซับซ้อนที่สุดในประวัติศาสตร์ของ DeFi นี่เป็นเรื่องราวที่ดีเกี่ยวกับการนำความร่วมมือใน DeFi มาทดสอบ ซึ่งเป็นบทเรียนที่โครงการหรือนักลงทุนควรให้ความสนใจ

บทความต่อไปนี้อ้างอิงจากแหล่งต่างๆ เพื่อส่งความคืบหน้าของการโจมตี วิเคราะห์เหตุการณ์นั้นและบทเรียนที่เรียนรู้เพื่อพัฒนาพื้นที่ DeFi ให้ดีขึ้นและดีขึ้น 

มาเริ่มกันเลย!

พัฒนาการ

ด้านล่างนี้คือสัญญาของการแฮ็ก: https://etherscan.io/tx/0x745ddedf268f60ea4a038991d46b33b7a1d4e5a9ff2767cdba2d3af69f43eb1b

IronBank ของ Cream ถูกแฮ็ก มูลค่าความเสียหายรวม 37.5 ล้านดอลลาร์ 

จากข้อมูลการทำธุรกรรม ผู้โจมตีใช้ Alpha Homora และยืม sUSD จาก IronBank แต่ละครั้งมากเป็นสองเท่า

หมายเหตุ : Iron Bank เป็นผลิตภัณฑ์ใหม่ของ Cream โดยผ่านโครงการที่ได้รับอนุญาตของ Iron Bank จะสามารถยืมสินทรัพย์จาก Cream โดยไม่ต้องมีหลักประกัน 

สามารถดูรายละเอียดได้ที่นี่

ผู้โจมตีทำธุรกรรม 2 รายการก่อนและส่งสินทรัพย์ไปยัง IronBank เพื่อรับ cySUSD จากนั้นใช้ flashloan จาก Aave v2 เขาดำเนินการแปลง USDC เป็น sUSD ผ่าน Curve

จากนั้นผู้โจมตีจะส่ง sUSD ไปยัง IronBank เพื่อให้เขาสามารถยืม ให้ยืม และรับ cySUSD ต่อไปได้ (ส่วนหนึ่งของ sUSD ใช้เพื่อชำระค่าธรรมเนียมการทำธุรกรรม) นอกจากนี้ มีการยืมเงิน 10 ล้านเหรียญสหรัฐโดยใช้สินเชื่อแฟลชและยังคงใช้เพื่อเพิ่มปริมาณ cySUSD ต่อไป

ในท้ายที่สุด ผู้โจมตีมี cySUSD มากจนเขาสามารถยืมอะไรก็ได้จาก Ironbank

ณ จุดนี้ผู้โจมตียืม:

• 13.2K WETH
• 3.6 ล้าน USDC
• 5.6 ล้าน USDTILLION
• ยาว 4.2 ล้าน

ในที่สุดเขาก็:

• ฝาก Stablecoins ไปที่ Aave V2
• 1k ETH “การกุศล: กลับไปที่ IronBank และ Homora
• การฟอกเงิน (220 ETH) ผ่านเงินสดทอร์นาโด
• และส่วนที่เหลืออีกประมาณ 11k ETH อยู่ในที่อยู่กระเป๋าเงินของผู้โจมตี

ดราม่าเริ่ม!!

การโจมตีสร้างความเสียหายอย่างมากให้กับ Cream Finance แต่ในไม่ช้าโครงการก็ทวีตว่าโปรโตคอลของพวกเขาทำงานได้อย่างถูกต้องและไม่ถูกแฮ็ก

ถ้าครีมไม่ใช่เหยื่อ แล้วใครคือคนที่ถูกทำร้าย? ทุกสายตาเริ่มจับจ้องไปที่ Alpha Finance แต่โปรเจ็กต์มีขั้นตอนการประมวลผลที่รวดเร็วและข้อมูลที่อัปเดตอย่างสมบูรณ์สำหรับผู้ใช้ภายในเวลาเพียงไม่กี่ชั่วโมง

ภาพรวมของรายงานเหตุการณ์ที่เกิดขึ้นจาก Alpha

1. ผู้โจมตียืม ETH จาก Ironbank ของ Cream โดยใช้ sUSD เป็นหลักประกัน
2. ผู้โจมตีชำระคืนเงินกู้ sUSD อย่างไรก็ตาม เนื่องจากข้อบกพร่องในผลิตภัณฑ์ของอัลฟ่า ผู้โจมตีจึงสามารถได้รับเงินจำนวนเล็กน้อยจากสิ่งนี้
3. ทำซ้ำจนกว่าตัวเลขนั้นจะข้าม 7 ตัวเลข
4. ในเวลานี้ Alpha Homora มีหนี้ก้อนโตกับ IronBank แต่แน่นอนว่าลูกหนี้หนีไปแล้ว
5. เขาฟอกเงินผ่าน Tornado Cash และคืน 1,000 ETH ให้กับ Alpha and Cream

หมายเหตุ : สิ่งนี้ไม่ได้ทำให้ผู้ให้กู้ของ Cream สูญเสียทรัพย์สินโดยตรง แต่จะก่อหนี้ก้อนโตจาก Alpha Homora 

ใครคือเหยื่อ?

ครีมกับอัลฟ่า แล้วใครคือเหยื่อ?

ฝ่ายที่เกี่ยวข้องในการโจมตีรวมถึง:

• ครีม v2 : ตกลงที่จะบูรณาการอย่างเข้มข้นระดับสัญญากับ Alpha Homora v2
• Alpha Homora v2 : ตกลงที่ระดับสัญญาเพื่อยืมสินทรัพย์จาก Cream v2 โดยไม่มีหลักประกัน
• Lender on Cream : เมื่อชุมชนยอมรับข้อตกลงเกี่ยวกับความร่วมมืออย่างเข้มข้นระหว่าง Cream และ Alpha หมายความว่าผู้ให้กู้ไม่เพียงให้ยืมแก่ผู้ใช้ Cream แต่ยังรวมถึงผู้ใช้ Alpha Homora v2 ด้วย
• ผู้ยืมในอัลฟ่า : คล้ายกับผู้ยืมในอัลฟ่าไม่เพียง แต่ยืมจากอัลฟ่าเท่านั้น แต่ยังมาจากครีม v2 ด้วย ผู้โจมตีอยู่ในกลุ่มนี้และจัดอยู่ในประเภทผู้กู้ที่มีเจตนาไม่ดี

ตอนนี้:

• ในระดับพื้นฐาน : Alpha Homora เป็นหนี้ครีม v2
• มองลึกลงไป : ทรัพย์สินจากผู้ให้กู้ในครีมกำลังถูกยืมโดยฝ่ายที่มีเจตนาไม่ดี

จากการวิเคราะห์ข้างต้น อัลฟ่าควรเป็นฝ่ายชดใช้ความเสียหายของครีม อย่างไรก็ตาม จากมุมมองทางเทคนิค Cream เป็นฝ่ายรับผิดชอบในการรักษาความปลอดภัยทรัพย์สินของผู้ให้กู้ ดังนั้นอัลฟ่าจึงสามารถสละความรับผิดชอบและยกเลิกความร่วมมือได้อย่างสมบูรณ์ ปล่อยให้หนี้เสียนั้นตกอยู่ที่ผู้ใช้ครีม

แน่นอนว่าด้วยชื่อเสียงและความสำเร็จในปัจจุบัน ความสามารถของอัลฟ่าในการทำเช่นนี้จึงต่ำมาก แต่การโจมตีเน้นย้ำถึงปัญหาที่มีอยู่กับการทำงานร่วมกันระหว่างโครงการต่างๆ ใน ​​DeFi

ผลที่ตามมา

สิ่งที่น่าสนใจต่อไปคือ แม้ว่าการโจมตีจะเกิดขึ้นผ่านสัญญาของอัลฟ่า แต่ครีมที่ทนทุกข์ทรมานมากกว่านั้นก็คือครีม AUM ของครีม (สินทรัพย์ภายใต้การบริหาร) ลดลงจาก 700 ล้านเป็น 200 ล้านในเวลาเพียง 1 วัน และราคาโทเค็นลดลง 30% ในทางตรงกันข้าม AUM ของ Alpha ลดลงเพียง 10% และการขายโทเค็นไม่มีนัยสำคัญ

สาเหตุของความขัดแย้งนี้อาจเกิดจาก:

1. ครีมเป็นคนแรกที่เปิดเผย ดังนั้นการขายแบบตื่นตระหนกจึงส่งผลกระทบอย่างมากต่อพวกเขา
2. ผู้ให้กู้ของ Cream ตระหนักดีว่าพวกเขาเป็นคนที่ได้รับความเดือดร้อนมากที่สุด (นอกเหนือจากราคาโทเค็นที่ลดลงแล้ว

การให้ยืมไปยังตลาดที่มีเลเวอเรจ x9 นั้นมีความเสี่ยงมากเกินไปแม้กระทั่งก่อนการโจมตี และผู้ให้กู้ของ Cream เริ่มตระหนักถึงเรื่องนี้มากขึ้น

บทเรียน

การโจมตีเหล่านี้ได้พิสูจน์แล้วว่า DeFi ยังเด็กมากในปัจจุบัน และความเสี่ยงก็ยิ่งใหญ่สำหรับผู้ใช้ การตรวจสอบใช้เวลานานและมีราคาแพง และแม้หลังจากการตรวจสอบเสร็จสิ้นแล้ว หากผลิตภัณฑ์ไม่ตรงกับรสนิยม ทุกอย่างก็จะล้มเหลว 

Alpha ตรวจสอบสองครั้งและยังคงถูกแฮ็ก การโจมตีซับซ้อนมากจนนักพัฒนาและนักวิจัยใช้เวลาหลายชั่วโมงในการทำความเข้าใจธรรมชาติของปัญหา 

เมื่อสัปดาห์ที่แล้ว yDAI (ห้องนิรภัยของ 1 ปี) ถูกแฮ็ก ทีมพัฒนาได้คิดค้นวิธีแก้ปัญหาเพื่อเปิดคลังเพื่อชดเชยความเสียหายให้กับทุกคน อย่างไรก็ตาม สำหรับ Alpha ตลาดที่รับโทเค็นเป็นหนี้มีน้อยเกินไป ดังนั้นหาก Alpha ต้องการชดเชยจะต้องทำข้อตกลงแยกต่างหากกับผู้ให้กู้

จากการโจมตีข้างต้น จำเป็นต้องมีโซลูชันมากมายเพื่อรับรองความปลอดภัยและความปลอดภัยของทั้งโครงการและผู้ใช้ คำแนะนำบางประการ ได้แก่ :

1. ทำการทดสอบอัตโนมัติและเปรียบเทียบและตรวจสอบความถูกต้องของอัลกอริทึมอย่างต่อเนื่อง
2. มาตราส่วน TVL ค่อยๆ รับรองความปลอดภัยในแต่ละขั้นตอน เพื่อลดความเสียหายให้น้อยที่สุด

บทส่งท้าย

เส้นแบ่งระหว่างความเสี่ยงและประสิทธิผลจะได้รับการทดสอบมากขึ้นเรื่อยๆ และการโจมตีแต่ละครั้งเป็นบทเรียนสำหรับ DeFi ที่จะเติบโต

สำหรับนักลงทุนเอง ก่อนเข้าสู่โครงการ การจัดสรรทุนที่เหมาะสมและการใช้เวลาทำความเข้าใจระบบเป็นข้อกำหนดเบื้องต้น นอกจากนี้ การได้เห็นการตัดสินใจและการดำเนินการของโปรเจ็กต์หลังจากถูกโจมตียังเป็นการทดสอบที่ดีเพื่อดูว่าทีมพัฒนามีความหลงใหลในผลิตภัณฑ์ของตนหรือไม่

“ผลตอบแทนไปพร้อมกับความเสี่ยง”

ลิงค์อ้างอิง: https://defiweekly.substack.com/p/efab8b4a-5b1d-4d87-8a64-913070ec328f