Bản chất của cuộc tấn công flash loan thực chất là cuộc tấn công của Oracle

Tác giả gốc: Adelyn Chu

Bản dịch gốc: Olivia   

Nguồn gốc: Thung lũng tiền điện tử

Kể từ đầu năm nay, hệ sinh thái tài chính phi tập trung (DeFi) đã nhanh chóng phát triển lên tổng giá trị bị khóa hơn 12 tỷ USD. Với sự tăng trưởng theo cấp số nhân này, động lực cho các tác nhân độc hại thao túng và tấn công các giao thức DeFi dễ bị tổn thương sẽ tăng lên, thường gây thiệt hại cho người dùng thông thường.

Một trong những công cụ được sử dụng trong nhiều cuộc tấn công DeFi gần đây là flash loan - một công cụ tài chính thô sơ mới cho phép người dùng mở các khoản vay không có bảo đảm. Đối với các khoản vay, quy định duy nhất là rằng khoản vay phải được hoàn trả trong cùng một khối nếu không nó sẽ được gọi lại. Điều này rất khác với các khoản vay DeFi truyền thống, vốn thường yêu cầu người dùng phải thế chấp quá mức cho khoản vay trong giai đoạn đầu.

Tính mới của các khoản vay nhanh là nó cho phép bất kỳ ai trên thế giới tạm thời trở thành một nhà giao dịch được tài trợ rất tốt, có khả năng bất ngờ thao túng thị trường. Trong một loạt các cuộc tấn công gần đây, chúng tôi đã thấy những kẻ độc hại sử dụng các khoản vay nhanh để vay, trao đổi, gửi và vay lại ngay lập tức một lượng lớn token để chúng có thể thao túng giá của các token trong DEX một cách giả tạo. Bản thân chuỗi hoạt động này đã tuân thủ, vì vậy nó cho phép kẻ tấn công khai thác DEX để định giá bất thường.

Khi các khoản vay flash được sử dụng như một phần của kế hoạch độc hại nhằm thao túng giao thức và đánh cắp tiền, thuật ngữ "tấn công flash loan" trở thành xu hướng tiền điện tử hot trong tuần này thuật ngữ. Các phương tiện truyền thông và những người có ảnh hưởng trên Twitter đều tập trung vào hoạt động của các khoản vay nhanh, mổ xẻ từng bước mà một kẻ độc hại thực hiện khi anh ta chuyển từ mã thông báo này sang mã thông báo khác và từ giao thức này sang giao thức khác trong một giao dịch.

Nhưng thuật ngữ "tấn công flash loan" không phản ánh được toàn bộ vấn đề. Các khoản vay flash không tạo ra lỗ hổng trong DeFi – chúng chỉ tiết lộ các lỗ hổng đã tồn tại. “Các cuộc tấn công cho vay chớp nhoáng” thường chỉ là các cuộc tấn công vào Oracles, là phần mềm trung gian kết nối các ứng dụng DeFi trên chuỗi và dữ liệu ngoài chuỗi, chẳng hạn như giá thị trường hợp lý của một tài sản. Rủi ro hệ thống thực sự trong hệ sinh thái DeFi nằm ở các oracle tập trung, không phải các khoản vay chớp nhoáng.

Đối với những người ngoài cuộc theo dõi các cuộc tấn công diễn ra, có điều gì đó hấp dẫn về các khoản vay nhanh. Ý tưởng rằng bất kỳ ai cũng có thể đột nhiên kiểm soát số tiền khổng lồ và triển khai nó theo những cách mới lạ, thậm chí độc hại cho thấy công nghệ này có thể trao quyền cho các cá nhân và mở khóa các công cụ tài chính hoàn toàn mới như thế nào. Thay vì phân tích chức năng và mục tiêu cơ bản của Flash Loan, chúng tôi ngạc nhiên trước sự khéo léo của những người tạo ra nó và sự tinh vi trong các cuộc tấn công của nó. Do đó, các khoản vay nhanh ngày càng được coi là một sự đổi mới DeFi nguy hiểm.

Như Marc Zeller của giao thức DeFi Aave đã nói, các khoản vay flash chỉ là một công cụ: chúng cho phép bạn hành động như một con cá voi trong một giao dịch. Bất kỳ cuộc tấn công nào được thực hiện thông qua khoản vay nhanh cũng có thể được thực hiện mà không cần khoản vay nhanh bởi chủ sở hữu được tài trợ tốt. Những gì khoản vay nhanh có thể làm là cho phép bất kỳ ai trên thế giới tạm thời trở thành chủ sở hữu có vốn hóa tốt vì không cần có giấy phép nào để có được khoản vay nhanh và không có yêu cầu thế chấp trước.

Tất nhiên, việc công khai những khoản tiền như vậy sẽ làm tăng đáng kể số lượng người có thể thực hiện các cuộc tấn công như vậy. Nhưng ngay cả trong một thế giới không có khoản vay nhanh, việc áp dụng nhiều công nghệ blockchain hơn sẽ tiếp tục cung cấp cho chúng ta các kênh nhanh hơn và khả năng tiếp cận nhiều thanh khoản hơn.

Tập trung vào vấn đề

Chúng ta cần tập trung vào chính xác những gì những kẻ độc hại này đang làm với quỹ mới thành lập làm gì. Một mô hình rõ ràng đã xuất hiện: các bên độc hại đang sử dụng các khoản vay nhanh để thao túng các giao thức DeFi dựa trên một sàn giao dịch phi tập trung (DEX) duy nhất làm nhà tiên tri về giá duy nhất của giao thức. Họ đã sử dụng dịch vụ cho vay flash để thao túng và bóp méo giá của một hoặc nhiều tài sản trên DEX, khiến dữ liệu giá không chính xác được cung cấp cho các ứng dụng DeFi bằng cách sử dụng dự đoán giá dựa trên DEX này.

Sau đó, những kẻ tấn công độc hại sẽ tận dụng cơ hội để thu được lợi nhuận với chi phí gây tổn hại trực tiếp đến lợi ích của người dùng thông thường. Khi bị ám ảnh bởi các công cụ cụ thể được sử dụng trong quá trình khai thác, ngành của chúng tôi đã bỏ qua bài học thực sự về những cuộc tấn công này: Các giao thức DeFi dựa vào các lời tiên đoán về giá lấy dữ liệu từ một địa điểm giao dịch duy nhất có thể bị xâm phạm bởi những người tham gia có số vốn lớn.

Đây là những cuộc tấn công của Oracle mà các hướng tấn công không chỉ được dự đoán trước mà còn đã xảy ra trước đó. Việc tập trung vào các khoản vay nhanh làm xao lãng một vấn đề lớn hơn, đó là các giao thức DeFi với hàng trăm triệu và đôi khi lên tới 1 tỷ USD TVL vẫn dựa vào các dự đoán phản hồi về giá từ một sàn giao dịch duy nhất. Như chúng ta đã thấy, một sàn giao dịch duy nhất có thể chịu nhiều thay đổi về khối lượng và thao túng cá voi. Đối với một giao thức khác dựa vào phản hồi giá tập trung, hậu quả là hiển nhiên.

Ngày nay, nhiều dApp DeFi hàng đầu của TVL sử dụng mạng Oracle phi tập trung để tính toán không đồng bộ các giao dịch trên nhiều sàn giao dịch trong nhiều giao dịch khác nhau. thao túng quỹ flash loan. Khi ngày càng nhiều người dùng bị thu hút bởi sự tiện lợi và cơ hội tài chính của hệ sinh thái này, đồng thời các giao thức DeFi ngày càng hấp thụ nhiều giá trị hơn từ thị trường toàn cầu, thì trách nhiệm của những người duy trì các giao thức này là áp dụng các giải pháp oracle phi tập trung, để bảo vệ người dùng khỏi các tổ chức nổi tiếng và các cuộc tấn công có thể phòng ngừa được.

Vì vậy, lần tới khi bạn nghe thấy thuật ngữ “tấn công cho vay nhanh”, hãy suy nghĩ kỹ. Khoản vay nhanh có thể được thiết kế để nhắm vào một lỗ hổng cụ thể trong hệ thống: một lời tiên tri về giá không có phạm vi bao phủ thị trường. Oracle phải là nguồn thông tin chính xác có thẩm quyền của giao thức - về giá của một tài sản, về trạng thái của thị trường. Như chúng ta đã thấy, ai thao túng được nguồn này đều có thể thu được lợi ích to lớn. Sự thật đằng sau các cuộc tấn công cho vay nhanh: Chúng được tài trợ bởi các khoản vay nhanh, nhưng chúng là các cuộc tấn công tiên tri về giá.

Liên kết gốc

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia