45 мільйонів доларів США втрачено під час атаки на флеш-позику: як шахраї скористалися вразливістю коду смарт-контракту Pancake Bunny PlatoBlockchain Data Intelligence. Вертикальний пошук. Ai.

$45 мільйонів втрачено в результаті миттєвої кредитної атаки: як шахраї скористалися вразливими місцями в коді смарт-контракту Pancake Bunny

Мітка часу: 20 травня 2021 5:18
45 мільйонів доларів США втрачено під час атаки на флеш-позику: як шахраї скористалися вразливістю коду смарт-контракту Pancake Bunny PlatoBlockchain Data Intelligence. Вертикальний пошук. Ai.
У своїй останній статті Hack Track, Наука Меркла, платформа для моніторингу та розслідування блокчейну опублікувала підсумок, в якому простою англійською мовою описано, що сталося, хто постраждав і що це означає для майбутнього флеш-позик і DeFi? 

Раніше сьогодні агрегатор врожаю фермерських господарств DeFi, Млинець-Зайчик, зазнав швидкої атаки на позику, і зловмисник за лічені секунди отримав близько 45 мільйонів доларів.

Кікер? Нічого не було порушено. Зловмисник скористався двома речами: флеш-позиками (інновація в DeFi) та програмними уразливостями на платформі DeFi.

фон

О 10:34 UTC у четвер, 20 травня, Млинець-Заєць, агрегатор та оптимізатор врожайності DeFi, побудований на Binance Smart Chain (BSC), зазнав нападу на швидку позику, який використав код протоколу Bunny. Перш ніж ми вникаємо в подробиці хакерства, з деякою термінологією ми повинні ознайомитися:

Атака флеш-позики: Флеш-позика - це позика, яка видається і повертається протягом часу, необхідного для створення нового блоку на блокчейні. Це позика, яка не вимагає від позичальника внесення застави. Позичальник швидко переверне прибуток від суми та поверне початкову позику до того, як сформується новий блок. Під час швидкої атаки на кредит шахрай бере кредит, щоб маніпулювати ринком та / або використовувати вразливості програмного забезпечення в коді.

Автоматизовані маркет-мейкери (AMM): Хоча не всі децентралізовані біржі є платформами AMM, деякі з найпопулярніших DEX є. Платформи AMM дозволяють торгувати криптовалютами автоматично, використовуючи запрограмований пул ліквідності, а не традиційну книгу замовлень, яка об’єднує покупців і продавців.

Пули ліквідності: Ліквідність означає, наскільки легко один актив можна перетворити на інший, не маючи значного впливу на ціну. Платформи AMM збирають кошти в пул ліквідності за допомогою розумного контракту, щоб полегшити децентралізовану торгівлю, кредитування та інші фінансові функції. Для децентралізованих бірж, таких як Uniswap або PancakeSwap, пули ліквідності дозволяють платформам працювати безперебійно.

Постачальники ліквідності та токени LP: Постачальники ліквідності стимулюються постачати активи в пули ліквідності, щоб токени могли легко торгуватися на платформі. Наприклад, частина комісійних, що генеруються в результаті торгівлі в пулі, може бути використана для «окупності» постачальників ліквідності. Крім того, коли постачальники ліквідності вносять активи в пул, платформа AMM автоматично генерує токен LP, який потім може також використовуватися в інших функціях - або на власній платформі, або в інших програмах DeFi - так що постачальники ліквідності можуть отримувати навіть більша віддача.

Загальна заблокована вартість (TVL): Застосовувана як фактична метрика для показу зростання децентралізованого фінансування, загальна заблокована вартість - це сума капіталу, який був внесений у DeFi - часто у вигляді застави або ліквідності в торговому пулі.

Що ми знаємо на сьогодні?

На відміну від попередніх повідомлень про викрадення у Млинцевого Зайчика 1 мільярда доларів, Ігор Ігамбердієв, аналітик дослідження The Block Crypto, виявив, що насправді було вкрадено приблизно 45 мільйонів доларів (114,000 XNUMX WBNB). Зловмисник використав використання флеш-позик через PancakeSwap (PCS).

У серії твітів Ігор розбив дії зловмисника на шість кроків, які підтвердив Млинець Зайчик посмертний:

  1. Депоновано USDT на суму 1BNB у сховище Bunny USDT-WBNB, щоб здійснити експлойт. В результаті цього депозиту було створено 9.275 LP.
  2. Позичив 2.3 мільйона BNB (704 мільйони доларів) у семи пулів PancakeSwap та 2.9 мільйона USDT у банку ForTube за допомогою флеш-позик.
  3. Депонував додатково 7,700 BNB і 2.9 млн USDT ліквідності в пул PancakeSwap USDT-WBNB, а також токени LP, сформовані на етапі 1.
  4. Торгував 2.3 млн. BNB до USDT через пул PancakeSwap USDT-WBNB, заливаючи пул BNB і суттєво зменшуючи кількість USDT в пулі.
  5. З LP в пулі PancakeSwap USDT-WBNB, Bunny Finance вважав, що експлуататор додав велику кількість BNB в систему, що спонукало систему карбувати 7M BUNNY (1 млрд доларів).
  6. Потім експлуататор продав 4.8 млн. Зайців за 2.3 млн. WBNB та 2.9 млн. USDT, які потім використав для погашення швидких позик, запозичених на кроці 2.

Як зазначено в «Млинець зайчик»План «Вперед».», усі сховища в безпеці, і жодне сховище не було порушено. Однак, коли щойно викарбуваний ЗАЙЧИК з кроку 5 заполонив ринок, ціна ЗАЙКА впала. Частина TVL Pancake Bunny знаходиться в BUNNY, тому — хоча саме сховище не було порушено — TVL все ще втрачено.

Хто постраждав від цього нападу?

Першочергові власники BUNNY найбільше постраждали від цього інциденту двома способами:

  • Завдяки 7 мільйонам BUNNY токенів, створених з повітря, існуючі токени були розбавлені, знижуючи ціну BUNNY.
  • Завдяки продажу на ринку токенів BUNNY, ліквідність BUNNY - легкість продажу BUNNY на ринку - була повністю застосована.

У своєму «План вперед» Млинцевий Зайчик окреслив кроки, які вони вживають для відновлення 1) TVL, 2) ринкової капіталізації та 3) якнайшвидшого відшкодування всіх своїх збитків.

Що це означає для флеш-позик, флеш-кредитних атак та платформ DeFi?

Флеш-позики є унікальними в тому сенсі, що позичальники можуть поводитися як кит на ринках, практично не забезпечуючи їх, що дає майже кожному можливість маніпулювати ринком та використовувати вразливі місця в кодах смарт-контрактів.

Як і в будь-якій індустрії, що зароджується, спочатку допускаються помилки, і галузь буде вчитися на таких типах атак. Потім буде застосовано та зміцнено системи та інфраструктуру для забезпечення безпечних транзакцій для тих, хто використовує платформи DeFi.

Джерело: https://www.cryptoninjas.net/2021/05/20/45m-gone-in-a-flash-loan-attack-how-scammers-exploited-vulnerabilities-in-pancake-bunnys-smart-contract- код /

Часова мітка:

Більше від Криптоніндзя