Ataque de préstamo relámpago: YFI, el antiguo rey de DeFi, tampoco se salvó

Introducción: En cuanto a los temas de seguridad de DeFi, desde febrero de 2020 hasta el presente se han perdido cientos de millones de dólares, varios expertos han escrito innumerables artículos para analizar los riesgos de DeFi Lego, hasta ahora tales temas no han llamado la atención de desarrolladores En un entorno en el que el mercado continúa frenético y la escala de los bloqueos continúa aumentando, la gente parece haber olvidado que el peligro oculto enterrado en lo profundo de la tierra del Carnaval no ha desaparecido...

Una vez que el rey de DeFi, el protocolo YFI no se salvó

El primer ataque de préstamo relámpago en 2021 le sucedió al rey DeFi en 2020: el protocolo Yearn Finance. No hay información sobre el estado mental del "atacante". Aquí, echemos un vistazo a lo que sucedió.

Según la inteligencia de SlowMist Technology, el grupo de políticas DAI del protocolo Yearn Finance fue atacado y los detalles son los siguientes:

1. El atacante primero toma prestada una gran cantidad de ETH de dYdX y AAVE mediante préstamos flash

2. El atacante usa el ETH prestado del paso 1 para prestar DAI y USDC en Compound

3. El atacante deposita todo el USDC y la mayor parte del DAI en el segundo paso en el grupo Curve DAI/USDC/USDT En este momento, debido a la enorme liquidez del depósito, el atacante realmente ha controlado el Curve DAI/USDC /USDT piscina mayor liquidez

La plataforma social digital Discord completa una financiación de 500 millones de dólares con una valoración de 15.000 millones de dólares: según fuentes familiarizadas con el asunto el 17 de septiembre, la plataforma social digital Discord completó una financiación de 500 millones de dólares con una valoración de 5.000 millones de dólares en una nueva ronda de financiación La ronda fue liderada por Dragoneer Investment Group, con Baillie Gifford & Co. , Coatue Management, Fidelity Management & Research Co. y Franklin Templeton también participaron en la inversión. El cofundador y CEO de Discord, Jason Citron, dijo en un comunicado enviado por correo electrónico que los nuevos fondos se utilizarán para invertir en nuevas funciones y herramientas y expandir la fuerza laboral de la compañía. Discord, con sede en San Francisco, es especialmente popular entre los jugadores de videojuegos, pero se ha expandido a todo, desde grupos de estudio hasta comunidades artísticas. La plataforma ahora tiene más de 150 millones de usuarios activos mensuales que usan el servicio para comunicaciones de voz, video y texto. A principios de este año, varias empresas se acercaron a Discord sobre una adquisición. La compañía estaba en conversaciones con Microsoft (MSFT.US), que ofreció $ 12 mil millones para la puesta en marcha, dijeron personas familiarizadas con el asunto. Posteriormente, Discord rechazó la oferta y terminaron las negociaciones. (Zhitong Finanzas) [2021/9/17 23:31:58]

4. El atacante retira una cierta cantidad de USDT del pool de Curve, lo que hace que la proporción de DAI/USDT/USDC se desequilibre y DAI/(USDT y USDC) se deprecie.

5. En el paso 3, el atacante recarga el DAI restante en el grupo de estrategias de DAI de anhelo y luego llama a la función de ganancia del grupo de estrategias de DAI de anhelo para transferir el DAI recargado al grupo de DAI de Curve/USDT/USDC en una proporción desequilibrada. El grupo de estrategia DAI recibirá una cierta cantidad de tokens 3CRV

6. El atacante vuelve a depositar el USDT tomado en el paso 4 en el grupo Curve DAI/USDT/USDC para restaurar la proporción de DAI/USDT/USDC

7. El atacante activa la función de retiro del grupo de estrategias DAI de anhelo. Dado que el grupo de estrategias DAI de anhelo se depositó con una proporción desequilibrada, ahora se usa el índice normal para el retiro, y la proporción de DAI en el grupo aumenta, lo que resulta en el misma cantidad de generación de 3CRV Se reduce la cantidad de DAI que se puede recuperar. Estos tokens menos retirados permanecen en el grupo Curve DAI/USDC/USDT

8. Dado que el atacante ya tenía la mayor parte de la liquidez en el grupo de DAI/USDC/USDT de Curve en el paso 3, la mayor parte del DAI que el grupo de políticas de DAI de año no pudo recuperar se distribuyó al atacante

9. Repita los pasos anteriores 3-8 5 veces y devuelva el préstamo flash para completar la ganancia

El atacante usó préstamos rápidos para llevar a cabo este arbitraje circular, lo que provocó que Yearn Finance perdiera decenas de millones de dólares.

La causa raíz no son los préstamos flash, sino un mecanismo de precios frágil

La combinación entre YFI y Curve utiliza los diferentes valores netos de LP para calcular las acciones y determina el precio a través de las acciones en el grupo. ¡Esta es una manipulación de precios típica!

Consideramos los acuerdos DeFi actuales como varios países. Cada país formula diferentes reglas de política. Los comerciantes usan la combinación de reglas de política para encontrar avances para obtener diferenciales de tasa de interés. Esto es para obtener una ganancia razonable por encima de la mesa, y no se puede culpar al atacante, porque su mecanismo les dice a otros cómo manipular mi precio para el arbitraje.

Con respecto al tema de los ataques de préstamo flash, hemos elaborado muchas veces, "Interpretación | Toda la historia del ataque de manipulación del oráculo de precios de Compound", que se describe en detalle en este artículo.

Los problemas expuestos detrás de la manipulación de precios son las direcciones en las que debemos pensar y estudiar más.

Los desarrolladores de protocolos DeFi de hoy en día a menudo anteponen la velocidad y la eficiencia, y hacen oídos sordos a la esencia de la cadena de bloques. Todos buscan velocidad y no están dispuestos a resolver la raíz del problema esencial. Porque casi todo el mundo lo está haciendo, haciendo la vista gorda.

El diseño de Bitcoin es permitir que todos los nodos verifiquen la transacción que se transmite en conjunto, y solo se cuenta la transmisión con la que todos están de acuerdo. En sí mismo es un sistema complejo redundante.Bitcoin no pretende innovar en términos de "usabilidad", sino proporcionar una solución perfecta en términos de "credibilidad", que resuelve los problemas en el proceso de descentralización.Pregunta segura. Cuanto mayor es la escala de potencia informática de la red Bitcoin, más segura es la red, pero la eficiencia de su procesamiento de transacciones no ha mejorado.

Si un mecanismo de precio puede determinarse simplemente cargando los llamados nodos "confiables" en la cadena o a través de acciones de LP, y el protocolo DeFi o los usuarios que usan este precio no pueden verificar efectivamente su precio sin permiso, entonces el precio que da es lo que usted dice, no el precio que se ha acordado, y no es lo que todos acuerdan juntos; además, el factor de seguridad de la economía en cadena basada en este sistema de precios inevitablemente no cambiará con la escala mejorada por la expansión. En pocas palabras, esto va en contra de la esencia de la cadena de bloques y persigue el final.

Un camino firme hacia la descentralización

NEST Protocol insiste en generar precios en la cadena sincrónicamente sin permiso y verificable por cualquier persona sin espacio de arbitraje, que puede ser llamado por los protocolos DeFi. La calidad también se mejorará simultáneamente. Este es el atributo básico que debe mostrar un sistema de juego no cooperativo. , y se puede acumular en el juego.

En un mercado eficiente, el juego entre mineros de cotización, el juego entre mineros de cotización y verificadores, y el juego entre el acuerdo y el mercado secundario, el precio en cadena generado por el juego no cooperativo multidimensional es lo que debemos seguir. para La raíz de la seguridad en la búsqueda.

Adherirse a la esencia de la cadena de bloques y fortalecer el espíritu de descentralización es el primer criterio para el desarrollo de la industria de la cadena de bloques.

Escrito por | NESTFANS.Zhiyu

Tags：

OKX Exchange App Download