11 березня повідомляється, що децентралізована протокол позик Aave нещодавно зазнав масштабної ліквідації через помилку у налаштуванні цінового оракула. Через тимчасове неправильне визначення ціни Wrapped stETH (wstETH) у системі, близько 34 рахунки були автоматично ліквідовані, що стосувалося активів на суму приблизно 26 мільйонів доларів США, викликавши широку дискусію у спільноті DeFi щодо безпеки оракулів та механізмів ліквідації.
Згідно з пізніше оприлюдненою інформацією, ця подія не стала результатом реального зниження ринкової ціни, а стала технічною помилкою у внутрішній системі цін Aave. Aave залежить від цінових оракулів у блокчейні для оцінки вартості заставних активів. Як тільки вартість застави падає нижче безпечного порогу, система автоматично виконує ліквідацію для захисту коштів позичальників.
Проблема виникла через використання механізму безпеки під назвою CAPO (Capped Asset Price Oracle). Цей механізм призначений для обмеження аномального зростання цін активів, щоб запобігти зловмисним маніпуляціям ринком. Однак через нерівномірне оновлення двох ключових параметрів конфігурації, система за короткий час обчислила ціну wstETH на 2,85% нижче за реальну ринкову вартість.
Ця, здавалося б, незначна різниця у ціні мало вплив на звичайних користувачів, але для рахунків із високим рівнем кредитного плеча та близькою до межі ліквідації заставою вона була достатньою для автоматичної ліквідації. В результаті система продала 10 938 wstETH для погашення позик, хоча за нормальних цінових умов ці позиції залишалися б у безпеці.
Аналіз ризиків, проведений організацією Chaos Labs, показав, що під час ліквідації сторонній робот-бот отримав прибуток близько 499 ETH. Хоча частина позицій користувачів була примусово закрита, сама протокол Aave не зазнав фінансових втрат — всі позики були погашені, а резервні кошти протоколу залишилися незмінними.
Засновник Aave Stani Kulechov заявив, що безпека протоколу не була порушена, але користувачі, яких ліквідували, зазнали збитків, тому спільнота запустить механізм компенсації. Наразі Aave через механізм BuilderNet повернув близько 141,5 ETH і 13 ETH у вигляді комісій, ці кошти будуть безпосередньо повернені постраждалим користувачам.
Що стосується залишку коштів, Aave підтвердив, що максимум 345 ETH буде покрито з казни DAO. Ці кошти походять із доходів протоколу і використовуються для реагування на надзвичайні ситуації та захисту інтересів користувачів.
Тим часом учасник спільноти Frida на форумі висловила сумніви щодо того, чи має Chaos Labs, відповідальна за управління ризиками налаштувань оракулів, нести частину відповідальності. У відповідь засновник Chaos Labs Omer Goldberg зазначив, що всі постраждалі користувачі отримають повне відшкодування, але інцидент класифікується як проблема конфігурації, а не дефект системного дизайну.
Після публікації звіту про інцидент ринок відреагував досить стабільно: ціна AAVE зросла приблизно на 1,53% до 110,52 долара США, що свідчить про те, що інвестори вважають проблему вирішеною.
Застереження: Інформація на цій сторінці може походити від третіх осіб і не відображає погляди або думки Gate. Вміст, що відображається на цій сторінці, є лише довідковим і не є фінансовою, інвестиційною або юридичною порадою. Gate не гарантує точність або повноту інформації і не несе відповідальності за будь-які збитки, що виникли в результаті використання цієї інформації. Інвестиції у віртуальні активи пов'язані з високим ризиком і піддаються значній ціновій волатильності. Ви можете втратити весь вкладений капітал. Будь ласка, повністю усвідомлюйте відповідні ризики та приймайте обережні рішення, виходячи з вашого фінансового становища та толерантності до ризику. Для отримання детальної інформації, будь ласка, зверніться до
Застереження.
Пов'язані статті
Sui DeFi-позиковий протокол Scallop зазнав злому, унаслідок уразливості в старому контракті викрадено 150 тис. SUI
Скалоп зазнав атаки в мережі Sui, якийсь залучений бічний контракт використав пул винагород sSUI, приблизно 150 000 SUI було вкрадено. Основний контракт безпечний, депозити та зняття відновлено. Офіційне повідомлення стосується лише застарілого відв’язаного контракту винагород, кошти користувачів не постраждали. Колишній розробник NEAR Vadim вказав, що джерело вразливості — застарілий пакет V2, який не оновлювали протягом 17 місяців: через те, що не було ініціалізовано last_index, нагороди накопичувалися з 2023 року; для виправлення потрібно додати поле версії у спільний об’єкт і посилити перевірку версій, щоб уникнути ризиків через застарілі пакети.
ChainNewsAbmedia26хв. тому
Scallop виявляє вразливість у пулі винагород sSUI, зазнає збитків на 150K SUI, але обіцяє повне відшкодування
Повідомлення Gate News, 26 квітня — Scallop, кредитний протокол в екосистемі Sui, оголосив про виявлення вразливості в допоміжному контракті, пов’язаному з його пулом винагород sSUI, що призвело до втрати приблизно 150,000 SUI. Постраждалий контракт заморожено, і Scallop підтвердив
GateNews4год тому
Litecoin переживає глибоку реорганізацію ланцюга після експлойту уразливості нульового дня в рівні приватності MWEB
Повідомлення Gate News, 26 квітня — Litecoin пережив глибоку реорганізацію ланцюга в суботу (April 26) після того, як нападники використали уразливість нульового дня в його рівні приватності MimbleWimble Extension Block (MWEB), повідомляє Litecoin Foundation. Реорг охопив блоки 3,095,930–3,095,943 і
GateNews5год тому
Litecoin уперше зазнала компрометації приватного шару: нульовий день у MWEB спровокував реорганізацію ланцюга з 13 блоків
За даними The Block, Фонд Litecoin підтвердив, що рівень конфіденційності MWEB зазнав нульового дня (zero-day) — атаки, де зловмисник використовував старі версії нод, щоб підроблені MWEB-транзакції вважалися дійсними, що спричинило відкат головного ланцюга на 13 блоків (приблизно 3 години), а також дві витрати (double-spend) для кросчейн-транзакцій на біржах; NEAR Intents зазнав розкриття приблизно 600 тисяч доларів США, а майнінг-пул також зазнав DoS. Виправлену версію вже опубліковано, будь ласка, негайно оновіть; залишки на головному ланцюгу не постраждали, але це підкреслює компроміс між зниженням спостережуваності та складністю виявлення для рівня конфіденційності.
ChainNewsAbmedia7год тому
Aave, Kelp, LayerZero Seek $71M Вивільнення Frozen ETH від Arbitrum DAO
Aave Labs, Kelp DAO, LayerZero, EtherFi та Compound у суботу вранці подали Конституційний AIP на форум Arbitrum, звернувшись із проханням до DAO мережі розблокувати приблизно $71 мільйона у замороженому ETH для підтримки зусиль з відновлення rsETH після минулотижневого експлойту Kelp DAO на $292 мільйонів. Пропозиція
CryptoFrontier9год тому
Лайткоїн зазнає глибокої реорганізації ланцюга після експлойту MWEB із zero-day, стираючи три години історії
Повідомлення Gate News, 26 квітня — Лайткоїн пережив глибоку реорганізацію ланцюга (reorg) у суботу після того, як нападники використали нульовий день (zero-day) у своєму шарі конфіденційності MimbleWimble Extension Block (MWEB), повідомляє Litecoin Foundation. Помилка дозволила майнінг-вузлам, що працюють на старіших версіях програмного забезпечення, валідовувати некоректну транзакцію MWEB, уможлививши нападникам “перекинути” LTC за межі розширення конфіденційності та спрямувати кошти на сторонні децентралізовані біржі. Одночасно великі майнінг-пули зазнали атак типу відмова в обслуговуванні (DoS), пов’язаних із тією ж вадою.
GateNews14год тому
