Як флэш-пазыкі выкарыстоўваюцца для маніпулявання крыптарынкам

Згодна з нядаўняй справаздачай, атакі на флэш-пазыкі растуць. Што гэта такое і якія рызыкі?

Уявіце, што вы можаце ўзяць крэдыт амаль неабмежаванага памеру без закладу. Ёсць толькі адна падвох. Вы павінны вярнуць гэта практычна імгненна. Гучыць дзіўна? Верагодна, так. Але гэта менавіта тое, што флэш-крэдыт. Як вынікае з назвы, гэтыя пазыкі адбываюцца практычна імгненна. (Падумайце пра супергероя DC Comic Флэша, які можа падарожнічаць з хуткасцю святла.)

У нядаўняй справаздачы De.Fi вынікае, што тэрміновыя пазыкі растуць і злыя асобы выкарыстоўваюць іх у расце колькасці эксплойтаў. У першым квартале гэтага года праз гэты стыль эксплойту было страчана 1 мільёнаў долараў. 

Але навошта камусьці браць амаль імгненны крэдыт? Што ж, як і многія рэчы ў крыптаграфіі, гэта зводзіцца да добрай прыбытковасці.

Тлумачэнне імгненных крэдытаў і нападаў на імгненныя крэдыты

Логіка тэрміновых крэдытаў абапіраецца на арбітраж, працэс выкарыстання невялікіх розніц у кошце. У адрозненне ад іншых відаў крэдытаў, тэрміновыя крэдыты не патрабуюць працяглага працэсу зацвярджэння, таму іх можна аформіць хутка. «Улічваючы нізкія зборы, звязаныя з пазыкай за адну транзакцыю, існуе велізарны патэнцыял для высокай прыбытковасці», - растлумачыў Арцём Бандарэнка, архітэктар праграмнага забеспячэння De.Fi, у інтэрв'ю BeInCrypto. «Для крэдытораў хуткага крэдыту няма ніякіх рызык, бо крэдыт вяртаецца адразу. У адваротным выпадку транзакцыя праваліцца».

У традыцыйных фінансах няма нічога падобнага на флэш-крэдыт. Гэта падобна на апцыён колл, але з некаторымі істотнымі адрозненнямі. Пры флэш-крэдыце вы можаце выкарыстоўваць пазычаныя грошы адразу, а пры апцыёне колл - трэба пачакаць. Акрамя таго, у традыцыйных фінансах транзакцыі звычайна адбываюцца адна за адной, у той час як пры флэш-пазыках яны адбываюцца блокамі. Аднак, як паказвае справаздача De.Fi, гэтыя кароткатэрміновыя інструменты не пазбаўлены недахопаў.

«Флэш-крэдытная атака мае месца, калі хтосьці можа пазычыць велізарную суму ў адным месцы і выкарыстоўваць яе для маніпулявання цэнамі, купляючы або прадаючы вялікія аб'ёмы, тым самым уплываючы на ​​цану актыву», — сказаў Бандарэнка. «Затым выкарыстоўваючы гэтую змену ў цане, каб выкарыстоўваць супрацьлеглыя пакупкі або продажу на іншым баку, ствараючы арбітраж паміж цэнамі ў двух месцах, а затым вяртаючы першапачатковую пазыку і кладучы розніцу ў кішэню».

«Калі пратакол ліквіднасці правільна распрацаваны з правільнымі аракуламі цэнаўтварэння, гэта не павінна быць праблемай, але ў выпадках, калі дызайн дрэнны, гэта ўразлівасць, якой можна скарыстацца і прывесці да масавай ліквідацыі», — дадаў Бандарэнка.

Хто ахвяры?

Флэш-пазыкі прывабныя для зламыснікаў, таму што яны дазваляюць пазычаць вялікія сумы крыптавалюты без забеспячэння. Для прадухілення такіх нападаў можна ўкараніць лепшыя меры бяспекі, такія як аўдыт кода і надзейны дызайн смарт-кантрактаў, а таксама можна павысіць дасведчанасць аб патэнцыйных вектарах нападаў у экасістэме DeFi.

13 сакавіка Euler Finance, добра вядомы пратакол крэдытавання на аснове Ethereum, быў узламаны, і зламыснік скраў розныя крыптавалюты на мільёны долараў, такія як Dai, USDC, Staked Ethereum і Wrapped Bitcoin, здзейсніўшы некалькі транзакцый. 

Агульная сума скрадзенага склала амаль 196 мільёнаў долараў, з іх 8.7 мільёна долараў у Dai, 18.5 мільёна долараў у WBTC, 135.8 мільёна долараў у StETH і 33.8 мільёна долараў у USDC. 

Зламыснік перамясціў скрадзеныя сродкі з Binance Smart Chain у Ethereum з дапамогай шматланцуговага моста, а затым правёў атаку флэш-пазыкі. Яны ўнеслі скрадзеныя сродкі ў Tornado Cash, вядомы крыпта-міксер, каб ускладніць пошукі і схаваць сваю асобу.

За месяц да гэтага, 16 лютага, Platypus Finance, аўтаматызаваны маркет-мейкер, падвергся асобнай атацы на флэш-крэдыты. Зламыснік скраў стейблкойны на суму $8,500,887 XNUMX XNUMX, у тым ліку USDC, USDT, BUSD і DAI. 

У дадзеным выпадку зламыснік скарыстаўся ўразлівасцю ў механізме праверкі плацежаздольнасці USP. У працэсе зламыснік атрымаў флэш-пазыку ў памеры 44,000,000 44,000,000 41,700,000 USDC, а потым абмяняў яе на XNUMX XNUMX XNUMX Platypus LP-USD. Затым яны адчаканілі XNUMX XNUMX XNUMX токенаў USP без выдаткаў, якія былі абменены на розныя стейблкойны. 

Platypus Finance супрацоўнічае са староннімі службамі, каб замарозіць скрадзеныя актывы, і некаторыя з іх ужо былі замарожаныя. Шкоднасны кантракт быў выдалены і ўжыты дадатковыя меры бяспекі для прадухілення наступных нападаў. Аднак частку выкрадзеных сродкаў зламысніку ўдалося перадаць.

Як паменшыць рызыкі?

З аднаго боку, Flash Loans з'яўляюцца адным з выдатных эквалайзераў крыпта. Яны дазваляюць трэйдарам з меншым капіталам удзельнічаць у здзелках з высокай узнагародай, якія звычайна адкрыты толькі для так званых кітоў. «Але, як мы шмат разоў бачылі, флэш-пазыкі таксама ўяўляюць вялікую рызыку для пратаколаў DeFi, якія не ўлічваюць такія рэчы», — сказаў BeInCrypto Адрыян Хетман, тэхнічны кіраўнік групы па сартаванні Immunefi.

«Пратаколы павінны абараняць сябе не толькі ад магчымых атак з падтрымкай флэш-пазыкі, але і ад атак Whale, г.зн., што адбудзецца, калі буйныя гульцы раптам выкарыстаюць свае велізарныя сродкі для выкарыстання нашага пратакола? Ці будзе сістэма паводзіць сябе належным чынам? Які наш «меркаваны» бізнес-плынь?» — працягваў Гетман. «Мадэляванне пагроз дапаможа выявіць патэнцыйныя слабыя бакі сістэмы».

«Выкарыстоўваючы сярэднеўзважаную па часе цану (TWAP), аракулы могуць дапамагчы мінімізаваць маніпуляцыі цэнамі шляхам асераднення цэн за пэўны перыяд часу, што ўскладняе зламыснікам маніпуляванне цэнамі ў адной транзакцыі. Акрамя таго, укараненне сістэм з некалькімі аракуламі можа забяспечыць надмернасць і перакрыжаваную праверку даных аб цэнах, яшчэ больш умацоўваючы абарону ад маніпуляцый», — дадаў Гетман.

Укараняючы аўтаматычныя выключальнікі, зламыснікі флэш-пазыкі могуць быць папярэджаны ад атрымання прыбытку ад маніпуляваных цэн пры выяўленні значных ваганняў коштаў, растлумачыў Гетман. «Пасля выяўлення і ліквідацыі прычыны ваганняў коштаў гандаль можа аднавіцца. Гэта павінна ўключаць патэнцыйныя сапраўдныя здзелкі, якія могуць здацца падазронымі толькі звонку».

«Таксама важна не дазваляць буйным пратакольным дзеянням адбывацца толькі над адным блокам. Флэш-крэдыты, часцей за ўсё, можна ўзяць толькі адной транзакцыяй за адзін блок», - дадаў Гетман.