Ani Kredi Saldırısında 45 Milyon Dolar Kayboldu: Dolandırıcılar, Pancake Bunny'nin Akıllı Sözleşme Kodu PlatoBlockchain Veri Zekasındaki Güvenlik Açıklarından Nasıl Yararlandı? Dikey Arama. Ai.

Hızlı Kredi Saldırısında 45 Milyon Dolar Kayboldu: Dolandırıcılar Pancake Bunny'nin Akıllı Sözleşme Kodundaki Güvenlik Açıklarından Nasıl Yararlandı?

Zaman Damgası: 20 Mayıs 2021 5:18
Ani Kredi Saldırısında 45 Milyon Dolar Kayboldu: Dolandırıcılar, Pancake Bunny'nin Akıllı Sözleşme Kodu PlatoBlockchain Veri Zekasındaki Güvenlik Açıklarından Nasıl Yararlandı? Dikey Arama. Ai.
En son Hack Track makalesinde, Merkle Bilimi, bir blok zinciri izleme ve soruşturma platformu, ne olduğunu, kimlerin etkilendiğini ve flash kredilerin ve DeFi'nin geleceği için ne anlama geldiğini açıklayan bir özet yayınladı? 

Bugün erken saatlerde, DeFi rekolte çiftçiliği toplayıcısı Pancake Bunny, birkaç saniye içinde yaklaşık 45 milyon dolar ile kaçan saldırganla ani bir kredi saldırısı yaşadı.

Vurucu mu? Hiçbir şey ihlal edilmedi. Saldırgan iki şeyden yararlandı: flaş krediler (DeFi'de bir yenilik) ve bir DeFi platformundaki yazılım güvenlik açıkları.

Olayın Arka Planı

10 Mayıs Perşembe günü saat 34: 20'te, Binance Smart Chain (BSC) üzerine kurulu bir DeFi verim tarımı toplayıcı ve optimizer olan Pancake Bunny, Bunny protokolündeki kodu kullanan bir flaş kredi saldırısına maruz kaldı. Saldırının ayrıntılarına girmeden önce, kendimizi tanımamız gereken bazı terminoloji:

Ani kredi saldırısı: Flash kredi, blok zincirinde yeni bir blok oluşturmak için gereken zaman çerçevesinde verilen ve iade edilen bir kredidir. Borçlunun herhangi bir teminat vermesini gerektirmeyen bir kredidir. Borçlu, miktar üzerinden hızla kar çevirecek ve yeni bir blok oluşmadan önce ilk krediyi iade edecektir. Bir flash kredi saldırısında, dolandırıcı, piyasayı manipüle etmek ve / veya kod içindeki yazılım güvenlik açıklarından yararlanmak için krediyi alacaktır.

Otomatik Pazar Yapıcılar (AMM'ler): Tüm merkezi olmayan borsalar AMM platformları olmasa da, en popüler DEX'lerden bazıları. AMM platformları, alıcıları ve satıcıları bir araya getiren geleneksel bir sipariş defteri yerine programlanmış bir likidite havuzu kullanılarak kripto para birimlerinin otomatik olarak işlem görmesine izin verir.

Likidite havuzları: Likidite, bir varlığın çok fazla fiyat etkisi olmadan diğerine ne kadar kolay dönüştürülebileceğini ifade eder. AMM platformları, merkezi olmayan ticaret, borç verme ve diğer finansal işlevleri kolaylaştırmak için akıllı bir sözleşme yoluyla bir likidite havuzunda fon toplar. Uniswap veya PancakeSwap gibi merkezi olmayan borsalar için likidite havuzları, platformların sorunsuz çalışmasını sağlar.

Likidite sağlayıcıları ve LP belirteçleri: Likidite sağlayıcıları, jetonların platformda kolayca alınıp satılabilmesi için varlıklarla likidite havuzları tedarik etmeye teşvik edilir. Örneğin, havuz içinde alım satım yoluyla elde edilen ücretlerin bir kısmı likidite sağlayıcılarının “geri ödemesi” için kullanılabilir. Buna ek olarak, likidite sağlayıcıları bir havuza varlık katkıda bulunduğunda, AMM platformu otomatik olarak bir LP jetonu oluşturur ve bu daha sonra diğer işlevlerde de (kendi platformunda veya diğer DeFi uygulamalarında) kullanılabilir, böylece likidite sağlayıcıları daha büyük getiri.

Toplam Değer Kilitli (TVL): Merkezi olmayan finansın büyümesini göstermek için fiili ölçü olarak kullanılan kilitli toplam değer, genellikle bir ticaret havuzunda kredi teminatları veya likidite şeklinde DeFi'ye yatırılan sermaye miktarıdır.

Şimdiye kadar ne biliyoruz?

Pancake Bunny'den 1 milyar dolar çalındığına dair önceki raporların aksine, İgor İgamberdievThe Block Crypto'daki araştırma analisti, aslında yaklaşık 45 milyon $ 'ın (114,000 WBNB) çalındığını ortaya çıkardı. Saldırgan, PancakeSwap (PCS) aracılığıyla ani kredi kullanımından yararlandı.

Bir dizi tweet'te Igor, saldırganın eylemlerini altı adıma böldü ve Pancake Bunny's tarafından onaylandı. otopsi:

  1. İstismarı sahnelemek için Bunny USDT-WBNB Kasasına 1BNB değerinde USDT yatırıldı. Bu para yatırma işlemi sonucunda 9.275 LP üretildi.
  2. Yedi PancakeSwap havuzundan 2.3M BNB (704 milyon $) ve Flash krediler kullanılarak ForTube Bank'tan 2.9M USDT ödünç alındı.
  3. 7,700. adımdan üretilen LP jetonlarıyla birlikte PancakeSwap USDT-WBNB havuzuna ek 2.9 BNB ve 1M USDT likidite yatırıldı.
  4. PancakeSwap USDT-WBNB havuzu aracılığıyla 2.3 milyon BNB'yi USDT'ye alıp, havuzu BNB ile doldurdu ve havuzdaki USDT miktarını önemli ölçüde azalttı.
  5. PancakeSwap USDT-WBNB havuzundaki LP ile Bunny Finance, istismarcının sisteme büyük miktarda BNB eklediğine ve sistemi 7M BUNNY (1 milyar $) daraltmasına neden olduğuna inanıyordu.
  6. Exploiter daha sonra 4.8 milyon WBNB ve 2.3 milyon USDT karşılığında 2.9 milyon BUNNY sattı ve bunu 2. adımda ödünç aldığı flaş kredileri geri ödemek için kullandı.

Pancake Bunny'nin “İlerleme Planı”, tüm kasalar güvende ve hiçbir kasa ihlal edilmedi. Ancak, 5. adımdan yeni basılan BUNNY piyasaya su bastığında, BUNNY'nin fiyatı düştü. Pancake Bunny'nin TVL'sinin bir kısmı BUNNY'de, bu nedenle - kasanın kendisi ihlal edilmemişken - TVL hala kayıptı.

Bu saldırıdan kim yaralandı?

Birincil, BUNNY sahipleri, bu olaydan iki şekilde en çok yaralananlardır:

  • Zayıf havadan yaratılan 7 milyon BUNNY jetonuyla, mevcut jetonlar seyreltilerek BUNNY'nin fiyatı düşürüldü.
  • Piyasadaki BUNNY tokenlarının satışı nedeniyle, BUNNY'nin piyasada satılabileceği kolaylık olan BUNNY'nin likiditesi tamamen zaptedildi.

Pancake Bunny, "İleri Gitme Planı" nda 1) TVL, 2) piyasa değeri ve 3) herkesin kayıplarını mümkün olan en kısa sürede telafi etmek için attığı adımları özetledi.

Bu, flaş krediler, hızlı kredi saldırıları ve DeFi platformları için ne anlama geliyor?

Kısa süreli krediler, borç alanların piyasalarda çok az teminatla veya hiç teminat olmaksızın bir balina gibi hareket edebilmeleri açısından benzersizdir, böylece neredeyse herkese piyasayı manipüle etme ve akıllı sözleşme kodları dahilindeki güvenlik açıklarından yararlanma yeteneği verir.

Yeni gelişmekte olan herhangi bir endüstride olduğu gibi, hatalar başlangıçta yapılır ve endüstri bu tür saldırılardan ders çıkaracaktır. Daha sonra, DeFi platformlarını kullananlar için güvenli işlemler sağlamak için sistemler ve altyapı güçlendirilecek ve güçlendirilecektir.

Kaynak: https://www.cryptoninjas.net/2021/05/20/45m-gone-in-a-flash-loan-attack-how-scammers-exploited-vulnerabilities-in-pancake-bunnys-smart-contract- kod /

Zaman Damgası:

Den fazla KriptoNinjalar