Według ćwierkać autorstwa firmy analitycznej DeFi PeckShield, 28 kwietnia 2022 r. zdecentralizowany protokół instrumentów pochodnych Deus Finance stał się celem exploita. Dostawca bezpieczeństwa blockchain zauważył, że atakującemu udało się zmanipulować wyrocznię cenową pożyczek flash w Deus DAO.
Coraz częstsze ataki na pożyczki błyskawiczne
„Włamanie było możliwe dzięki manipulacji wyrocznią cenową przy pomocy pożyczki flash, która odczytuje parę StableV1 AMM – USDC/DEI. Zmanipulowana cena zabezpieczenia DEI jest następnie wykorzystywana do zaciągania pożyczek i opróżniania puli” – wyjaśnił PeckShield.
Exploit umożliwił złośliwemu aktorowi wyssanie ponad 13.4 miliona dolarów z puli płynności protokołu pożyczkowego w sieci Fantom. Jednak według firmy CertiK zajmującej się bezpieczeństwem całkowite straty w protokole Deus mogą być znacznie wyższe.
W ćwierkać opublikowany w czwartek rano CertiK potwierdził, że na platformie Deus miał miejsce exploit w postaci pożyczki błyskawicznej, ale oszacował, że osoba atakująca zarobiła około 16.84 mln dolarów.
Haker przesyła skradzione środki do Crypto Mixer
Nieznanemu napastnikowi udało się oszukać zdolność inteligentnych kontraktów Deus do interpretacji danych Oracle dotyczących cen, co pozwoliło mu manipulować wartością zabezpieczenia DEI. DEI to stablecoin z rezerwą cząstkową protokołu DeFi powiązany z wartością dolara amerykańskiego.
Wykorzystując zawyżoną cenę, haker wykorzystał zabezpieczenie, aby pożyczyć duże sumy kryptowalut w formie pożyczki flash i opróżnić pulę. Wkrótce po zabezpieczeniu łupu o wartości około 5446 ETH napastnik przeniósł środki ze swojego portfela do Tornado Cash, popularnego narzędzia do mieszania monet.
W chwili pisania tego tekstu saldo portfela powiązanego z exploitem Deus wynosiło zaledwie 132 dolarów, ponieważ większość skradzionych środków została już przekazana do rozwiązania zapewniającego prywatność Tornado Cash.
Ekosystem Deus chwieje się po niszczycielskim exploitie, który miał miejsce w czwartek nad ranem w Azji. Według danych z CoinGecko, exploit spowodował spadek ceny DEI o 16.5% w ciągu ostatnich 24 godzin. Większość strat nastąpiła po tym, jak firmy zajmujące się bezpieczeństwem blockchain upubliczniły szczegóły ataku na pożyczkę flash.
Deweloperzy Deus Finance zawieszają udzielanie kredytów DEI
Zespół deweloperów Deus podjął szybkie działania, aby stłumić panikę wśród użytkowników po czwartkowym niszczycielskim włamaniu do sieci. W ćwierkać w opublikowanym w czwartek rano zwolennicy projektu zapewnili inwestorów, że dwustronna platforma instrumentów pochodnych będących przedmiotem obrotu poza rynkiem regulowanym jest obecnie bezpieczna.
Zespół potwierdził, że fundusze użytkowników są bezpieczne i powtórzył, że nie zlikwidowano żadnego inwestora. Wyjaśnili dalej, że przywrócono powiązanie DEI z dolarem amerykańskim w stosunku 1:1, ale poinformowali uczestników rynku, że pożyczanie monety stablecoin zostało tymczasowo wstrzymane.
Niestety, najnowszy hack na Deus Finance nie jest pierwszym. Nie dalej jak w zeszłym miesiącu rynek DeFi został zinfiltrowany przez osoby atakujące wykorzystujące ten sam wektor ataku w postaci pożyczki flash. Jak donosi crypto.news, w wyniku tego szkodliwego oprogramowania cyberprzestępcy uciekli z kwotą około 3 milionów dolarów w monetach ETH i DAI.
W następstwie naruszenia z 15 marca Deus Finance DAO ogłosiło zamknięcie umowy kredytowej DEI. Następnie dyrektor generalny protokołu Deus, Lafayette Tabor, przedstawił: plan zwrotu kosztów które umożliwiło dotkniętym użytkownikom spłatę pożyczek i odzyskanie zlikwidowanych środków.
Źródło: https://crypto.news/deus-finance-new-flashloan-attack-13m/