yDAI gặp đòn, Curve “sung sướng” nhận trời cho

Đọc bài viết này mất 7 phút

Curve đã thu được lợi ích sau khi tin tặc xâm nhập vào kho tiền yDAI.

Tiêu đề gốc: "yDAI hứng chịu cơn gió "hạnh phúc" của Curve"

Nguồn gốc: PeckShield

Đảo ngược hai cấp độ? Curve đã thu được lợi ích sau khi tin tặc xâm nhập vào kho tiền yDAI.

Vào ngày 5 tháng 2, giờ Bắc Kinh, Yearn Finance đã tweet rằng kho tiền v1 yDAI đã bị tấn công.

Nhà phát triển cốt lõi của Yearn Finance @banteg cho biết: "Kho tiền đã bị khai thác, kẻ tấn công đã kiếm được 2,8 triệu USD và kho tiền bị mất 11 triệu USD. Trong quá trình điều tra của chúng tôi, chính sách này đã đưa ra tiền gửi của kho v1 DAI, TUSD, USDC và USDT sẽ bị vô hiệu hóa."

PeckShield phát hiện qua quá trình theo dõi và phân tích rằng cuộc tấn công này có liên quan đến lỗ hổng tương tự đến cuộc tấn công cho vay nhanh xảy ra trên TUSD Vault của Yearn.finance được nhà nghiên cứu bảo mật Wen-Ding Li tiết lộ trước đó.

Đầu tiên, tấn công Kẻ tấn công đã mượn các khoản vay flash từ dYdX và AaveV2;

Sau đó, kẻ tấn công đã sử dụng tài sản được mượn để truy cập vào 3pool. , các mã thông báo không cân bằng;

Tiếp theo, kẻ tấn công gửi DAI vào kho yDAI, kích hoạt hoạt động đầu tư tiếp tục vào khoản đầu tư chiến lược bị ảnh hưởng, khiến tình trạng giao dịch không cân bằng trở nên tồi tệ hơn trong 3pool, kẻ tấn công ngay lập tức thu lợi từ trạng thái mất cân bằng ngày càng tồi tệ;

Kẻ tấn công sử dụng lại các bước trên và tránh kích hoạt kiểm soát trượt giá 0,5 %, khoản vay flash ban đầu đã bị hủy cuối cùng đã được hoàn trả, dẫn đến khoản lỗ 11 triệu đô la Mỹ trong kho yDAI.

Điều đáng chú ý là các chiến lược bị ảnh hưởng thực hiện kiểm soát trượt giá, nhưng hiện tại không có phí rút tiền (ban đầu là phí rút tiền 0,5%) , điều này làm cho việc khai thác có lợi nhuận. Để tránh kích hoạt kiểm soát trượt, kẻ tấn công liên tục sử dụng các bước trên để đảm bảo cuộc tấn công thành công. Yearn Finance ngay lập tức vô hiệu hóa chiến lược vault sau cuộc tấn công.

Liệu có “bàn tay vô hình” kiềm chế sự biến động lãi suất trong DeFi Lending? Kho tiền của Yearn Finance không đủ an toàn.

Vào cuối tháng 9 năm 2020, các nhà phát triển của Yearn Finance tiết lộ rằng họ đã vá các khoản tiền trong yDAI, yTUSD và yUSD vault.Các lỗ hổng có nguy cơ. Sau khi lỗ hổng tấn công tương tự xuất hiện trong flash loan trên TUSD Vault vào tháng 11, may mắn thay, nó đã nhanh chóng được sửa chữa. Sau nhiều lần mày mò, nó vẫn không thoát khỏi một đòn.

Công ty bảo mật PeckShield đã nhiều lần nhắc nhở rằng nhóm dự án không chỉ phải cải thiện mã đến mức tối đa mà còn phải thực hiện các biện pháp phòng ngừa trong trường hợp bị DeFi tấn công. Nếu điều đó xảy ra, bạn cần phải tự kiểm tra mã và kiểm tra kịp thời xem có thiếu sót nào không.

Cho đến nay, banteg, nhà phát triển cốt lõi của Yearn Finance cho biết tin tặc đã đánh cắp 513.000 DAI và 1,7 triệu USDT dưới dạng USDT, phần còn lại ở dạng token CRV.

Người sáng lập Aave Stani Kulechov nói rằng cuộc tấn công có một lỗ hổng phức tạp liên quan đến hơn 160 giao dịch trên nhiều nền tảng DeFi. hơn 5.000 USD tiền xăng.

Nhà đầu tư mạo hiểm Julien Thevenard chỉ ra rằng hơn 3 triệu USD số tiền bị đánh cắp từ kho tiền đã được các nhà cung cấp thanh khoản trên nền tảng cho vay DeFi Curve nhận.