Технический анализ атаки хакера на платформу DeFi Balancer

В последнее время платформа Децентрализованные финансы, которая привлекла внимание благодаря модели "заимствование равно майнинг", столкнулась с атакой Хакера. Злоумышленник использовал уязвимость в пулах двух ERC20 дефляционных токенов STA и STONK на этой платформе, что привело к убыткам более 500000 долларов.

Эксперты по безопасности проанализировали ситуацию и обнаружили, что корень проблемы заключается в несовместимости дефляционных токенов на этой платформе с их смарт-контрактами в определённых условиях. Это позволяет злоумышленникам создавать пулы ликвидности токенов с ценовыми отклонениями и получать от этого прибыль.

Процесс атаки в основном делится на четыре этапа:

1. Злоумышленник получил большое количество WETH в качестве флеш-займа с определенной платформы.

2. Атакующий многократно выполняет вызов swapexactMountin(), пока основная часть токенов STA, находящихся на целевой платформе, не будет исчерпана, готовясь к следующему этапу атаки.

3. Используя несовместимость токена STA и смарт-контрактов, а именно несоответствие учета и баланса, злоумышленник успешно исчерпал другие активы в пуле ликвидности, в конечном итоге получив прибыль более 520000 долларов.

4. Нападающий вернул срочный заем и перевел цифровые активы, полученные в результате атаки.

!

На втором этапе атаки злоумышленник хитро заставил платформу оставить лишь очень малое количество STA, что привело к аномальному росту стоимости STA. Затем злоумышленник использовал механизм сборов за перевод токенов, что привело к несоответствию между фактическим количеством STA, полученным платформой, и внутренним учетом.

!

Путем многократного вызова функции gulp() для сброса внутреннего учета, хакер смог непрерывно обменивать небольшое количество STA на большое количество других активов, пока не исчерпал активы, такие как WETH, SNX, LINK в пуле ликвидности.

!

Этот инцидент вновь выявил риски совместимости, связанные с композируемостью Децентрализованных финансов. Для предотвращения подобных атак рекомендуется:

1. При переводе дефляционных токенов, если сумма недостаточна для оплаты комиссии, она должна быть немедленно отменена или возвращать False.

2. Платформа DeFi должна проверять фактический баланс после каждого вызова функции transferFrom().

!

Более важно, чтобы разработчики проектов DeFi соблюдали хорошие кодовые стандарты и проводили всестороннее тестирование безопасности перед запуском. Также крайне важно провести достаточную проверку совместимости различных стандартов токенов и комбинированного поведения проектов DeFi.

!

В результате этой атаки общий ущерб составил около 523 000 долларов США и затронул различные цифровые активы. Это, безусловно, повлияет на всю экосистему Децентрализованных финансов, а также напоминает разработчикам о необходимости уделять внимание безопасности смарт-контрактов. С быстрым развитием области DeFi подобные инциденты с безопасностью могут продолжать происходить, поэтому особенно важно повышать осведомленность о безопасности и технические меры предосторожности.

!

!

!

!