Analyse eines $700k Oracle-Manipulationsexploits hebt Schwachstellen in DeFi-Tresoren hervor
Kurze Zusammenfassung Im Februar wurde ein Oracle-Manipulationsangriff auf DeFi-Protokolle im Ethereum Layer 2 Netzwerk ZKsync durchgeführt, darunter auch das Venus Protocol, das einen Verlust von 717.000 US-Dollar durch die Übernahme von faulen Schulden erlitt. Der Angreifer manipulierte den Wechselkurs des wUSDM Wrapped Yield-Bearing Stablecoin von Mountain Protocol, indem er einen Flash-Kredit nutzte und eine auf Spenden basierende Schwachstelle in standardisierten ERC-4626 tokenisierten Tresoren ausnutzte.
Ein kürzlicher Angriff auf dezentralisierte Finanzen hebt hervor, wie Schwachstellen bei der Standardimplementierung bestimmter DeFi-Tresore von einem raffinierten Bedrohungsakteur ausgenutzt werden können, der vertraute Werkzeuge wie Flash-Kredite verwendet, um Wechselkurse zu manipulieren und Preisorakel in die Irre zu führen.
Am 27. Februar führte ein Angreifer einen auf Flash-Krediten basierenden "Spendenangriff" durch, indem er etwa 4 Millionen Dollar von Aave lieh, um das ERC-4626 Tresor-Token für Mountain Protocols verpackten ertragsbringenden Stablecoin, wUSDM, auszunutzen und dessen internen Wechselkurs künstlich zu erhöhen. Der zugrunde liegende Stablecoin, USDM, ist durch kurzfristige US-Staatsanleihen besichert.
Im Rahmen des Spendenangriffs erhöhte der Bedrohungsakteur den Wechselkurs von wUSDM von 1,06 auf 1,7 und nutzte dann zwei Konten, um eine Selbstliquidation auf der Kreditplattform Venus Protocol durchzuführen. Obwohl Venus schnell reagierte, um den Markt einzufrieren, gelang es dem Angreifer, etwa 200.000 Dollar zu profitieren, während Venus einen Nettoverlust von über 716.000 Dollar erlitt, wie aus einem kürzlich von der Risikomanagementfirma Chaos Labs veröffentlichten detaillierten Bericht hervorgeht.
"Beide Teams setzten geeignete Notfallmaßnahmen um – Märkte einfrieren, Risikoparameter anpassen und den Wechselkurs zurücksetzen", sagte Yoni Keselbrener, Leiter von DeFi bei Lightblocks Labs, in einem Interview mit The Block. Keselbrener trägt zur Orakel-Infrastruktur auf eOracle bei, einem Ethereum-nativen Orakel-Netzwerk, das auf EigenLayer entwickelt wurde und die Integration von realen Daten in dezentrale Anwendungen ermöglicht.
Der angegriffene Tresor implementiert den ERC-4626 Standard für tokenisierte Tresore, der ursprünglich im Mai 2022 eingeführt wurde, obwohl die Tresore später an Popularität gewannen. Der Tresor-Standard "...enthält jedoch keine Schutzmaßnahmen gegen manipulierte Wechselkurse, wenn er in Kreditprotokollen verwendet wird", so der Bericht.
Die Kreditplattform Euler Finance veröffentlichte im Januar 2024 einen Forschungsbericht über Schwachstellen bei ERC-4626 Tresoren und argumentierte, dass die meisten Tresore keine expliziten Sicherheitsüberprüfungen implementieren, um Wechselkursmanipulationen zu verhindern. "Wir erwarten, dass in vielen Fällen zwei oder mehr Minderungstechniken kombiniert werden müssen, um eine größere Wirkung zu erzielen", schrieben die Autoren.
Chaos Labs erkannte in seinem Bericht an, dass Sicherheitsstrategien den Angriff hätten verhindern können. "Um diesen Angriffsvektor zu mildern, hätten die wUSDM-Verträge ein kettenübergreifendes Wechselkursorakel verwenden können, oder Venus hätte nach ordnungsgemäßer Offenlegung Sicherheitsmaßnahmen implementiert, um die Wertsteigerung des Wechselkurses zu begrenzen", schrieb Chaos Labs. "Um diesen Angriffsvektor weiter zu mildern, wird ein nach oben begrenztes Orakel-Setup – wie der CAPO-Mechanismus von Aave – für alle ertragsbringenden Vermögenswerte implementiert, um Manipulationen durch künstliche Ertragsspitzen zu verhindern."
"Es gilt übrigens für jeden Tresor, nicht nur für standardisierte", fügte das X-Konto von Curve Finance als Antwort auf einen Thread von Keselbrener hinzu, der die Schwachstelle diskutierte. "Nur ein häufiger Fehltritt von Kreditplattformen."
Keselbrener sagte, der CAPO-Standard sei effektiv, erfordere jedoch "...zusätzliche Code-Komplexität und laufende Verwaltung, um sicherzustellen, dass sie das legitime Ertragswachstum nicht einschränken, während sie Manipulationen verhindern."
"Da DeFi komplexer wird, müssen wir über einfache Preisfeeds hinausdenken, um das gesamte Risikoprofil der Vermögenswerte zu verstehen, die wir integrieren", sagte Keselbrener. "Der Bedarf an kettenübergreifender Orakel-Infrastruktur ist kein Nachteil, sondern eine zusätzliche Sicherheitsschicht. Spezialisierte Orakel-Anbieter können auch spezifische Schutzmaßnahmen implementieren, die darauf ausgelegt sind, genau diese Manipulationsszenarien zu erkennen und zu verhindern."
Haftungsausschluss: Der Inhalt dieses Artikels gibt ausschließlich die Meinung des Autors wieder und repräsentiert nicht die Plattform in irgendeiner Form. Dieser Artikel ist nicht dazu gedacht, als Referenz für Investitionsentscheidungen zu dienen.
Das könnte Ihnen auch gefallen
Bitcoin und Altcoins fallen angesichts verhaltener US-PCE-Inflationsdaten
Schnelle Übersicht: Die Daten zu den Kernpersönlichen Konsumausgaben (PCE) zeigten, dass die jährliche Inflation auf den niedrigsten Stand seit März 2021 gesunken ist. Analysten sagten, dass der makroökonomische Bericht für Kryptowährungen unbedeutend sein würde, da sich die Aufmerksamkeit auf das Treffen der Federal Reserve im Juni verlagert.
Bitcoin strebt eine „gesunde Pause“ bei etwa 106.000 $ an, bevor der Preis an Fahrt gewinnt
Die Konsolidierung von Bitcoin wird "dem Markt Zeit geben, die jüngsten Gewinne zu verdauen", bevor er in einen neuen Aufwärtstrend eintritt, sagt Derive-Gründer Nick Forster gegenüber Cointelegraph.
OpenSea sagt, dass der Start des SEA-Tokens von der Veröffentlichung wichtiger Funktionen abhängt und verspricht neue Belohnungen für Nutzer, da OS2 die Beta-Phase verlässt
Kurze Zusammenfassung OpenSea hat mitgeteilt, dass es weiterhin an seinem erwarteten SEA TGE arbeitet, jedoch bestimmte Funktionen vor der Einführung des Tokens bereitgestellt werden müssen. Die OS2-Plattform von OpenSea hat zudem die Beta-Phase verlassen und ein neues „Voyages“-Belohnungsprogramm zusammen mit der öffentlichen Veröffentlichung gestartet.
SEC-Kommissarin Peirce warnt, dass eine Änderung des Tempos nicht bedeutet, dass schlechte Akteure im Krypto-Bereich freie Hand haben
Schnelle Zusammenfassung Die Entscheidung der SEC, ihre aggressive Durchsetzungskampagne gegen Kryptowährungen zurückzufahren, bedeutet nicht, dass die Menschen in diesem Bereich tun können, was sie wollen, sagte die republikanische Kommissarin Hester Peirce. Peirce sprach am Donnerstag auch über die Rolle der SEC als Aufsichts- und Offenlegungsbehörde und forderte regulatorische Konsistenz im Hinblick auf Verluste von Investoren.
Im Trend
MehrKrypto Preise
Mehr
