DeFi Digest от OKEx Insights – это еженедельный обзор индустрии децентрализованных финансов..
Рынок децентрализованного финансирования снова достиг новых высот благодаря тому, что BTC достигла рубежа в 50 000 долларов на мировых биржах. Общая стоимость продуктов DeFi впервые превысила 40 миллиардов долларов 12 февраля и продемонстрировала рост на 8% за неделю..
Продолжающийся рост рынка DeFi был очевиден в сфере кредитования, где общие объемы заимствований выросли на 13% до 7,23 миллиарда долларов. Компаунд доминировал на рынке кредитования с долей 55%..
На момент написания статьи средний еженедельный объем торгов на децентрализованных биржах незначительно снизился до 2,28 миллиарда долларов. Uniswap – который недавно обработанный совокупный объем более 100 миллиардов долларов – продолжает лидировать среди DEX с долей рынка 38%. Aave заменил SushiSwap в качестве крупнейшего пула ликвидности на этой неделе, его общая заблокированная стоимость составила 1,52 миллиарда долларов..
| Категория | Ключевая статистика | Количество | Еженедельное изменение% |
| Общий | Общая заблокированная сумма (долл. США) | 39,94 миллиарда долларов | 8% |
| Доминирование на рынке (%) | Производитель (16%) | ||
| Кредитование | Общий объем заимствований. | 7,23 миллиарда долларов | 13% |
| Доминирование на рынке (%) | Соединение (55%) | ||
| DEX | Еженедельная ср. торговый объем. | 2,28 миллиарда долларов | -6% |
| Доминирование на рынке (%) | Uniswap (38%) | ||
| Урожайность | Самый большой пул ликвидности | Aave (1,52 миллиарда долларов) |
На этой неделе как общая заблокированная стоимость, так и объемы заимствований выросли, в то время как еженедельные объемы торгов на DEX упал на 6%. Источник: DeFi Pulse и DeBank
Крупнейшая атака на флэш-кредиты DeFi
В то время как участники рынка DeFi хвастались на этой неделе достижением отметки TVL в 40 миллиардов долларов, Alpha Finance подверглась атаке срочным кредитом, которая привела к потере примерно 38 миллионов долларов. Это превзошло взлом Harvest Finance на 34 миллиона долларов и стало крупнейшей атакой на мгновенные кредиты за относительно короткую историю DeFi..
Сначала команда Alpha Finance объявлен атака на экстренный кредит 13 февраля. Команда выпустила вскрытие на следующий день, чтобы поделиться подробностями об эксплойте Alpha Homora V2.
В ходе вскрытия выяснилось, что злоумышленник запустил сложный эксплойт, включающий более девяти транзакций, которые были разбиты на 13 шагов. Команда также перечислила следующие лазейки в смарт-контракте Alpha Homora V2, которые сделали возможной эксплойт:
- У HomoraBankv2 был пул sUSD, который готовился и не публиковался. У пула sUSD не было ликвидности, и злоумышленник мог раздуть как общую сумму долга, так и общую долю долга..
- Функция resolveReserve может увеличить общий долг без увеличения общей доли долга. Эту функцию может выполнить любой пользователь..
- При расчете функции заимствования произошла ошибка округления. Это было применимо только тогда, когда злоумышленник был единственным заемщиком..
- HomoraBankv2 принимал любые индивидуальные заклинания от пользователей, учитывая, что сумма залога больше суммы займа. (Заклинание в Alpha Finance похоже на стратегию в Yearn Finance.)
Чтобы запустить комплексную атаку флэш-кредита, злоумышленник сначала создал заклинание в Alpha Homora V2. Затем злоумышленник обменял ETH на sUSD на Uniswap и депонировал sUSD в Iron Bank of Cream Finance. Чтобы манипулировать пулом sUSD, злоумышленник занял 1000e18 sUSD и обошел проверку безопасности, депонирование токен пула ликвидности UNI-WETH в качестве обеспечения. Взамен злоумышленник получил долги в размере 1000e18 долларов США. Злоумышленник использовал первую и четвертую лазейки, упомянутые ранее, для выполнения этих шагов..
Хотя злоумышленник был единственным заемщиком в этом эксплойте Alpha Finance, он воспользовался ошибкой округления в функции заимствования путем погашение доля в долларах США на единицу меньше общей суммы займа. Тогда злоумышленник казнен функция resolveReserve в банке sUSD, что привело к накоплению долга в размере 19 709 млрд долларов США, поскольку общая доля долга осталась равной.
Злоумышленник повторил описанные выше процедуры 26 раз и каждый раз удваивал сумму займа. Поскольку каждое заимствование было на единицу меньше общей суммы долга, это приводило к нулевой соответствующей доле заимствования, и протокол не мог распознать заимствование. Затем злоумышленник получил флеш-кредиты от Aave и отмыл их в Curve..
Реакция Alpha Finance
На момент написания злоумышленник держал 10925 ETH на адрес кошелька. Пока злоумышленник депонированный По оценке Curve, стейблкоинов на сумму более 10 миллионов долларов они вернули разработчикам Alpha Homora V2 и Cream V2 1000 ETH соответственно. Крошечная часть украденного ETH была отправлена на Tornado и Gitcoin Grant. Команда Alpha оценила общий убыток фонда в 38 миллионов долларов..
Команда Alpha подчеркнула, что заимствование у злоумышленников было задолженностью между платформами Alpha Homora V2 и Cream V2, а это означает, что средства пользователей не были задействованы в этом инциденте. Команда Alpha Finance предприняла следующие немедленные действия, чтобы остановить эксплойт:
- Он удалил функцию заимствования и погашения sUSD, не давая пользователям открывать новые позиции с кредитным плечом..
- Это гарантировало, что только заклинания из белого списка могут быть выполнены..
- Это гарантировало, что только губернатор мог выполнить "решить" функция.
- Он связался с различными сторонами, чтобы внести адрес злоумышленника в черный список..
Хотя поставщики ликвидности не могут занимать в Alpha, они по-прежнему могут добавлять залог, погашать долг, закрывать позиции и собирать полученные токены. С другой стороны, кредиторы в Alpha Finance могут предоставлять и снимать активы, как обычно..
Чтобы смягчить негативное влияние, оказываемое на пользователей Alpha Finance, команда сотрудничает с основателем Yearn Finance Андре Кронье и командой Cream Finance для урегулирования задолженности..
В качестве среднесрочного и долгосрочного решения команда Alpha Finance продолжала искать внешних аудиторов и доверенных разработчиков для проверки своих смарт-контрактов. Команда также рассматривает возможность запуска новых и креативных программ поощрения ошибок для других протоколов DeFi..
OKEx Insights представляет анализ рынка, подробные функции и тщательно подобранные новости от профессионалов в области криптографии..
