Технический анализ события атаки хакера на платформу DeFi Balancer
Недавно платформа Децентрализованные финансы привлекла широкое внимание благодаря своей инновационной модели "заем и майнинг". Однако в полночь 29 июня два пула эрц20 токенов с дефицитом на этой платформе подверглись атаке Хакера, что привело к убыткам более 500000 долларов.
Анализируя ситуацию, эксперты по безопасности выяснили, что корень проблемы заключается в несовместимости дефляционных токенов на этой платформе с их смарт-контрактами в определённых условиях, что позволяет хакерам получать прибыль от ценового дисбаланса.
此次 атака主要分为四个 шага：
Атакующий берет в долг большое количество WETH с какого-то кредитного платформы.
Путем многократного вызова функции swapexactMountin() исчерпать почти все STA токены на платформе.
Используя несовместимость токенов STA и смарт-контрактов платформы, а именно несоответствие между бухгалтерским учетом и фактическим балансом, истощили другие активы в фонде и в конечном итоге получили прибыль более 520000 долларов.
Возвратить кредит на мгновенные займы и уйти с прибылью.
Технические детали анализа следующие:
Первый шаг: молниеносный займ
Атакующий занимает большое количество WETH, готовясь к последующим действиям.
!
Второй шаг: очистить активы STA на платформе
Атакующий многократно вызывает функцию swapExactAmountIn(), искусно снижая баланс STA на платформе до почти нуля, подготавливая почву для следующей атаки.
!
Третий шаг: получение прибыли от атаки
Атакующий использует принцип "Динамического баланса" платформы, чтобы обменивать небольшое количество STA на большое количество других активов. Поскольку при переводе STA сжигается 1% комиссии, это приводит к тому, что платформа фактически не получает STA, что вызывает несоответствие между внутренней бухгалтерией и фактическим балансом. Атакующий, многократно вызывая функцию gulp(), сбрасывает внутреннюю бухгалтерию, продолжая обменивать малые количества STA на другие ценные активы.
!
!
!
!
Шаг 4: Возврат кредитов на молниеносные займы
В конце атакующий возвращает заимствованный WETH, завершив весь процесс атаки.
!
Это событие вновь выявило риски совместимости, существующие в DeFi. Чтобы избежать подобных атак, рекомендуется:
При переводе дефляционного токена, если суммы недостаточно для оплаты комиссии, следует сразу откатить или вернуть False.
Платформа должна проверять фактический баланс после каждого вызова transferFrom().
Разработчики проектов DeFi должны использовать хорошие кодовые стандарты, проводить всестороннее тестирование безопасности и тщательно проверять различные возможные комбинации поведения.
Конкретные потери от этой атаки включают в себя множество цифровых активов, таких как WETH, WBTC, SNX, общая стоимость которых превышает 520 000 долларов. Это событие, безусловно, окажет влияние на сообщество Децентрализованных финансов, а также напоминает разработчикам проектов о необходимости уделять повышенное внимание безопасности смарт-контрактов.
На этой странице может содержаться сторонний контент, который предоставляется исключительно в информационных целях (не в качестве заявлений/гарантий) и не должен рассматриваться как поддержка взглядов компании Gate или как финансовый или профессиональный совет. Подробности смотрите в разделе «Отказ от ответственности» .
Balancer стал жертвой хакера, потеряв 500000 долларов. Анализ уязвимости дефляционных токенов DeFi.
Технический анализ события атаки хакера на платформу DeFi Balancer
Недавно платформа Децентрализованные финансы привлекла широкое внимание благодаря своей инновационной модели "заем и майнинг". Однако в полночь 29 июня два пула эрц20 токенов с дефицитом на этой платформе подверглись атаке Хакера, что привело к убыткам более 500000 долларов.
Анализируя ситуацию, эксперты по безопасности выяснили, что корень проблемы заключается в несовместимости дефляционных токенов на этой платформе с их смарт-контрактами в определённых условиях, что позволяет хакерам получать прибыль от ценового дисбаланса.
此次 атака主要分为四个 шага：
Атакующий берет в долг большое количество WETH с какого-то кредитного платформы.
Путем многократного вызова функции swapexactMountin() исчерпать почти все STA токены на платформе.
Используя несовместимость токенов STA и смарт-контрактов платформы, а именно несоответствие между бухгалтерским учетом и фактическим балансом, истощили другие активы в фонде и в конечном итоге получили прибыль более 520000 долларов.
Возвратить кредит на мгновенные займы и уйти с прибылью.
Технические детали анализа следующие:
Первый шаг: молниеносный займ Атакующий занимает большое количество WETH, готовясь к последующим действиям.
!
Второй шаг: очистить активы STA на платформе Атакующий многократно вызывает функцию swapExactAmountIn(), искусно снижая баланс STA на платформе до почти нуля, подготавливая почву для следующей атаки.
!
Третий шаг: получение прибыли от атаки Атакующий использует принцип "Динамического баланса" платформы, чтобы обменивать небольшое количество STA на большое количество других активов. Поскольку при переводе STA сжигается 1% комиссии, это приводит к тому, что платформа фактически не получает STA, что вызывает несоответствие между внутренней бухгалтерией и фактическим балансом. Атакующий, многократно вызывая функцию gulp(), сбрасывает внутреннюю бухгалтерию, продолжая обменивать малые количества STA на другие ценные активы.
!
!
!
!
Шаг 4: Возврат кредитов на молниеносные займы В конце атакующий возвращает заимствованный WETH, завершив весь процесс атаки.
!
Это событие вновь выявило риски совместимости, существующие в DeFi. Чтобы избежать подобных атак, рекомендуется:
При переводе дефляционного токена, если суммы недостаточно для оплаты комиссии, следует сразу откатить или вернуть False.
Платформа должна проверять фактический баланс после каждого вызова transferFrom().
Разработчики проектов DeFi должны использовать хорошие кодовые стандарты, проводить всестороннее тестирование безопасности и тщательно проверять различные возможные комбинации поведения.
Конкретные потери от этой атаки включают в себя множество цифровых активов, таких как WETH, WBTC, SNX, общая стоимость которых превышает 520 000 долларов. Это событие, безусловно, окажет влияние на сообщество Децентрализованных финансов, а также напоминает разработчикам проектов о необходимости уделять повышенное внимание безопасности смарт-контрактов.
!
!