160 milioane USD în pericol din cauza bug-ului compusului protocolului de creditare DeFi

Nota editorului: Acest articol a fost actualizat cu comentariile lui Robert Leshner și Banteg.

În urmă cu o săptămână, fondatorul Compound, Robert Leshner, a numit o eroare din contractul inteligent al protocolului său de creditare drept „dilemă morală”. Poate pentru unii, dar pentru alții astăzi contractele inteligente au devenit un automat plin de numerar gratuit.

Astăzi, cineva a exploatat o eroare în contractul de controler al Compound, care este partea din protocolul care distribuie recompensele pentru cultivarea randamentului utilizatorilor. De apelarea funcției drip() a lui Compound, au transferat 68 de milioane de dolari, sau 202,472 COMP, de la rezervorul Compound la controlorul său. 

De când Banteg, un dezvoltator de bază la Yearn.Finance, a postat pe Twitter despre exploatare mai devreme în această după-amiază, patru tranzacții majore au consumat fondul Comptroller de 64,997 COMP, sau 21.4 milioane de dolari. Una dintre aceste tranzacții a retras 37,504 COMP, sau 12.3 milioane USD. Banteg a spus că doar „adresele cu starea de buggy se pot scurge” și că există alte cinci adrese care ar putea pretinde 45 de milioane de dolari, „golind Controllerul”.

Săptămâna trecută, în urma unei actualizări numite Propunerea 062, pool-ul Controller a început să distribuie 280,000 COMP către persoanele greșite.  Leshner a cerut utilizatorilor să dea fondurile înapoi și a mulțumit tuturor celor care au făcut-o.

Dar, din cauza modului în care este structurată guvernarea Compound, este nevoie de șapte zile pentru a corecta eroarea. 

Oricine poate adăuga mai mult COMP la pool-ul Comptroller apelând drip(), o funcție publică, dar nimeni nu a sunat de câteva săptămâni. 

„Când funcția drip() a fost apelată în această dimineață, a trimis restanța (202,472.5, aproximativ două luni de COMP de la ultima apelare a funcției) în protocolul de distribuție către utilizatori”, a scris Leshner pe Twitter astăzi.

„Problema picurarii este cunoscută de Compound și de cercetătorii de securitate de câteva zile”, a spus Banteg. decriptaţi, „dar din moment ce nu a existat nicio atenuare, s-a hotărât să-l țină sub secret, în speranța că nimeni nu va observa până când un patch nu va fi eliminat.”

Dezvoltatorii comunității au sperat că patch-urile vor intra în vigoare înainte ca drip() să fie apelat, a scris astăzi Leshner pe Twitter. Banteg a numit exploit-ul „cel mai bine păstrat secret din DeFi”.

Leshner a spus că suma totală de COMP expusă riscului este acum de aproximativ 490,000, sau 160 de milioane de dolari, „din care 136 sunt încă în Controller și 117 au fost returnate comunității până acum”.

Comentând postarea lui Banteg, traderul de criptomonede Christopher Mooney a spus: „Sunt sincer impresionat că a durat atât de mult de numărul de oameni care au știut. Îmi restabilește puțin încrederea în umanitate, dar în cele din urmă unul dintre voi a ales neutru haotic.”

Leshner a postat pe Twitter: „În continuare, sunt optimist cu privire la patch-urile care își fac drum prin procesul de guvernare, care remediază distribuția și membrii comunității care lucrează pentru a gestiona această eroare”. COMP a scăzut cu 4.6% în ultimele 24 de ore.

Sursa: https://decrypt.co/82499/compound-exploit-drains-21m-from-lending-protocol