160 мільйонів доларів ризику через помилку у складі протоколу кредитування DeFi

Примітка редактора: цю статтю оновлено коментарями Роберта Лешнера та Бантега.

Тиждень тому засновник Compound Роберт Лешнер назвав помилку в смарт-контракті свого протоколу кредитування «моральною дилемою». Можливо, для когось, але для інших сьогодні смарт-контракти стали торговим автоматом, повним безкоштовних грошей.

Сьогодні хтось використав помилку в контракті Compound Controller, який є частиною протоколу, який розподіляє винагороди за врожайність серед користувачів. за виклик функції Drip() Compound, вони перевели 68 мільйонів доларів, або 202,472 XNUMX COMP, із резервуару Compound до його Контролера. 

Оскільки Banteg, основний розробник Yearn.Finance, написав у Twitter про експлойт раніше сьогодні вдень, чотири великі транзакції вичерпали пул контролера на 64,997 21.4 COMP, або 37,504 мільйона доларів. Одна з цих транзакцій вилучила 12.3 45 COMP, або XNUMX мільйона доларів. Бантег сказав, що лише «адреси з помилковим станом можуть зливати» і що є ще п’ять адрес, які можуть вимагати XNUMX мільйонів доларів, «випорожнюючи Контролер».

Минулого тижня після оновлення під назвою Proposal 062 пул контролера почав розповсюджувати 280,000 XNUMX COMP не тим людям.  Лешнер попросив користувачів повернути кошти та подякував усім, хто це зробив.

Але через те, як структуровано управління Compound, виправлення помилки займає сім днів. 

Будь-хто може додати більше COMP до пулу Comptroller, викликавши публічну функцію drip(), але тижнями ніхто не викликав. 

«Коли функцію drip() було викликано сьогодні вранці, вона надіслала резерв (202,472.5 XNUMX, близько двох місяців COMP з моменту останнього виклику функції) у протокол для розповсюдження користувачам», — написав сьогодні Лешнер у Twitter.

«Проблема з крапельницею відома Compound і дослідникам безпеки вже кілька днів», — сказав Бантег. Розшифрувати, «але оскільки пом’якшення не було, було вирішено тримати це в таємниці, сподіваючись, що ніхто не помітить, доки не з’явиться патч».

Розробники спільноти сподівалися, що патчі будуть доступні до виклику drip(), Лешнер написав сьогодні у Twitter. Бантег назвав експлойт «найкраще збереженою таємницею в DeFi».

Лешнер сказав, що загальна сума COMP під загрозою зараз становить приблизно 490,000 160, або 136 мільйонів доларів, «з яких 117 тис. все ще знаходяться в контролері, а XNUMX тис. наразі повернуто спільноті».

Коментуючи публікацію Бантега, крипто-трейдер Крістофер Муні сказав: «Я, чесно кажучи, вражений, що це зайняло стільки часу з такою кількістю людей, які знали. Це трохи відновлює мою віру в людство, але врешті-решт один із вас вибрав хаотичний нейтралітет».

Лешнер написав у Твіттері: «Забігаючи вперед, я з оптимізмом дивлюся на патчі, які проходять через процес управління, які виправляють дистрибутив, і на членів спільноти, які працюють над вирішенням цієї помилки». COMP впав на 4.6% за останні 24 години.

Джерело: https://decrypt.co/82499/compound-exploit-drains-21m-from-lending-protocol