45 مليون دولار ذهب في هجوم قرض سريع: كيف استغل المحتالون نقاط الضعف في ذكاء بيانات PlatoBlockchain لرمز العقد الذكي الخاص بـ Pancake Bunny. البحث العمودي. عاي.

45 مليون دولار أمريكي في هجوم على قرض سريع: كيف استغل المحتالون نقاط الضعف في رمز العقد الذكي الخاص بـ Pancake Bunny

الطابع الزمني: 20 مايو 2021 ، 5:18 مساءً
45 مليون دولار ذهب في هجوم قرض سريع: كيف استغل المحتالون نقاط الضعف في ذكاء بيانات PlatoBlockchain لرمز العقد الذكي الخاص بـ Pancake Bunny. البحث العمودي. عاي.
في أحدث مقال لها Hack Track ، علم ميركل، نشرت منصة مراقبة وتحري blockchain ملخصًا يصف بلغة إنجليزية بسيطة ما حدث ، ومن تأثر ، وماذا يعني ذلك بالنسبة لمستقبل القروض السريعة و DeFi؟ 

في وقت سابق اليوم ، تعرض Pancake Bunny ، مجمع الزراعة الغلة DeFi ، لهجوم قرض سريع حيث حقق المهاجم ما يقرب من 45 مليون دولار في غضون ثوانٍ.

كيكر؟ لم يتم اختراق أي شيء. استفاد المهاجم من شيئين: القروض السريعة (ابتكار في DeFi) وثغرات البرامج على منصة DeFi.

خلفيّة

في الساعة 10:34 بالتوقيت العالمي المنسق يوم الخميس ، 20 مايو ، عانى Pancake Bunny ، وهو مجمع ومُحسِّن لزراعة عائدات DeFi مبني على Binance Smart Chain (BSC) ، هجوم قرض سريع استغل الكود الموجود على بروتوكول Bunny. قبل أن ندخل في تفاصيل الاختراق ، بعض المصطلحات التي يجب أن نتعرف عليها:

هجوم القرض السريع: القرض السريع هو قرض يتم تقديمه وإعادته خلال الإطار الزمني الذي يستغرقه لإنشاء كتلة جديدة على blockchain. إنه قرض لا يتطلب من المقترض تقديم أي ضمانات. سيقلب المقترض ربحًا سريعًا على المبلغ ويعيد القرض الأولي قبل تكوين كتلة جديدة. في هجوم القرض السريع ، سيأخذ المحتال القرض من أجل التلاعب بالسوق و / أو استغلال ثغرات البرامج داخل الكود.

صناع السوق الآلي (AMMs): على الرغم من أن جميع البورصات اللامركزية ليست منصات AMM ، إلا أن بعضًا من أشهر منصات DEX هي. تتيح منصات AMM تداول العملات المشفرة تلقائيًا باستخدام تجمع سيولة مبرمج بدلاً من دفتر الطلبات التقليدي ، والذي يجمع المشترين والبائعين.

تجمعات السيولة: تشير السيولة إلى مدى سهولة تحويل أحد الأصول إلى أصل آخر دون أن يكون له تأثير كبير على السعر. تقوم منصات AMM بجمع الأموال في مجمع سيولة عبر عقد ذكي من أجل تسهيل التداول اللامركزي والإقراض والوظائف المالية الأخرى. بالنسبة للتبادلات اللامركزية مثل Uniswap أو PancakeSwap ، فإن تجمعات السيولة تمكن المنصات من العمل بسلاسة.

مزودي السيولة ورموز LP: يتم تحفيز مزودي السيولة على تزويد مجمعات السيولة بالأصول بحيث يمكن تداول الرموز المميزة بسهولة على المنصة. على سبيل المثال ، يمكن استخدام جزء من الرسوم الناتجة عن التداول داخل المجمع "لسداد" مزودي السيولة. بالإضافة إلى ذلك ، عندما يساهم موفرو السيولة بأصول في مجمع ما ، فإن منصة AMM ستنشئ تلقائيًا رمز LP المميز ، والذي يمكن استخدامه أيضًا في وظائف أخرى - إما على نظامها الأساسي الأصلي أو على تطبيقات DeFi الأخرى - بحيث يمكن لمزودي السيولة تلقي حتى عوائد أكبر.

إجمالي القيمة المقفلة (TVL): يستخدم كمقياس فعلي لإظهار نمو التمويل اللامركزي ، إجمالي القيمة المقفلة هو مقدار رأس المال الذي تم إيداعه في DeFi - غالبًا في شكل ضمانات قروض أو سيولة في مجمع تداول.

ماذا نعرف حتى الان؟

على عكس التقارير السابقة عن سرقة مليار دولار من Pancake Bunny ، إيغور إيغامبيردييف، المحلل البحثي في ​​The Block Crypto ، أنه في الواقع تمت سرقة حوالي 45 مليون دولار (114,000 WBNB). استغل المهاجم استخدام القروض السريعة عبر PancakeSwap (PCS).

في سلسلة تغريدات ، قسم إيغور أفعال المهاجم إلى ست خطوات ، والتي أكدتها بانكيك بانيز. بعد الوفاة:

  1. تم إيداع بقيمة 1 مليار دولار أمريكي من USDT إلى Bunny USDT-WBNB Vault من أجل تنظيم عملية الاستغلال. تم إنشاء 9.275 LPs نتيجة لهذا الإيداع.
  2. اقترض 2.3 مليون BNB (704 مليون دولار) من سبعة مجمعات PancakeSwap و 2.9 مليون USDT من ForTube Bank باستخدام قروض سريعة.
  3. تم إيداع 7,700،2.9 BNB و 1 M USDT إضافية من السيولة في مجمع PancakeSwap USDT-WBNB ، جنبًا إلى جنب مع الرموز المميزة LP الناتجة من الخطوة XNUMX.
  4. تم تداول 2.3 مليون BNB إلى USDT من خلال تجمع PancakeSwap USDT-WBNB ، مما أدى إلى إغراق المجمع بـ BNB وتقليل كمية USDTs في المجمع بشكل كبير.
  5. مع LP في تجمع PancakeSwap USDT-WBNB ، اعتقد Bunny Finance أن المستغل أضاف كمية كبيرة من BNB إلى النظام ، مما دفع النظام إلى سك 7 مليون BUNNY (1 مليار دولار).
  6. بعد ذلك ، باعت شركة Exploiter 4.8 مليون BUNNY مقابل 2.3 مليون WBNB و 2.9 مليون USDT ، والتي استخدمتها بعد ذلك لسداد القروض السريعة المقترضة في الخطوة 2.

كما هو مبين في Pancake Bunny's “المضي قدما في الخطة، "جميع الخزائن آمنة ولم يتم اختراق أي خزائن. ومع ذلك ، عندما أغرقت BUNNY التي تم سكها حديثًا من الخطوة 5 السوق ، انخفض سعر BUNNY. يوجد جزء من TVL الخاص بـ Pancake Bunny في BUNNY ، وبالتالي - بينما لم يتم اختراق الخزنة نفسها - لا يزال TVL مفقودًا.

من الذي أصيب من هذا الهجوم؟

الأساسي ، حاملو BUNNY هم الأكثر تضررًا من هذا الحادث بطريقتين:

  • مع 7 ملايين من رموز BUNNY التي تم إنشاؤها من فراغ ، تم تخفيف الرموز الموجودة ، مما أدى إلى انخفاض سعر BUNNY.
  • نظرًا لبيع توكنات BUNNY في السوق ، فإن سيولة BUNNY - السهولة التي يمكن من خلالها بيع BUNNY في السوق - انطلقت تمامًا.

في "خطة المضي قدمًا" ، حدد Pancake Bunny الخطوات التي يتخذونها من أجل دفع استرداد 1) TVL ، 2) القيمة السوقية و 3) تعويض الجميع عن خسائرهم في أقرب وقت ممكن.

ماذا يعني هذا بالنسبة للقروض السريعة وهجمات القروض السريعة ومنصات DeFi؟

تعتبر القروض السريعة فريدة من نوعها بمعنى أن المقترضين قادرون على التصرف مثل الحوت في الأسواق مع القليل من الضمانات أو بدون ضمانات ، مما يمنح أي شخص تقريبًا القدرة على التلاعب بالسوق واستغلال نقاط الضعف في أكواد العقود الذكية.

كما هو الحال مع أي صناعة ناشئة ، يتم ارتكاب الأخطاء في البداية وسوف تتعلم الصناعة من هذه الأنواع من الهجمات. سيتم بعد ذلك تعزيز الأنظمة والبنية التحتية وتعزيزها لضمان معاملات آمنة لأولئك الذين يستخدمون منصات DeFi.

المصدر: https://www.cryptoninjas.net/2021/05/20/45m-gone-in-a-flash-loan-attack-how-scammers-exploited-vulnerabilities-in-pancake-bunnys-smart-contract- الشفرة/

الطابع الزمني:

اكثر من CryptoNinjas