Новий криптозлом на Ethereum і Optimism

Сьогодні було виявлено новий криптозлом: цього разу протокол DeFi Arcadia Finance на мережах Ethereum і Optimism був успішно атакований. 

PeckShieldAlert оприлюднив цю новину в Twitter, повідомивши, що зловмисники отримали близько 455,000 XNUMX доларів США. 

Злом також пізніше підтвердили самі оператори Arcadia Finance. 

Через кілька годин вони повідомили, що їм вдалося зв’язатися з хакером і що вони працюють разом зі своїми партнерами з безпеки, правоохоронними органами та спільнотою, щоб якнайкраще вирішити проблему, намагаючись повернути кошти для користувачів протоколу.

Помилка, яка призвела до злому криптовалюти

За словами PeckShield, злом смарт-контракту Arcadia Finance був пов’язаний з використанням ненадійної перевірки введення для виведення коштів із резервів darcWETH і darcUSDC.

darcWETH і darcUSDC — це два загорнуті токени Arcadia Finance, тому кожен з них містить резерви. 

Теоретично для кожного токена darcWETH має бути токен WETH у резервах, а для кожного токена darcUSDC має бути токен USDC. 

Очевидно, у смарт-контракті, який керує резервами цих двох загорнутих токенів, була помилка, якою зловмисники змогли скористатися. 

Крім того, PeckShield виявив відсутність захисту від повторного входу в цих смарт-контрактах, що таким чином дозволило миттєвому розрахунку обійти внутрішню перевірку стану менеджера резервів. 

Чесно кажучи, пізніше Аркадія спростував цю реконструкцію, але не зміг надати альтернативного пояснення. 

Більшу частину коштів було вкрадено з мережі Optimism, а потім вони були переведені завдяки Tornado Cash, щоб втратити їх слід. 

Протокол Arcadia Finance

Arcadia Finance — це протокол DeFi на Ethereum і Optimism, який не має власного токена. 

До злому його TVL становив близько 600,000 145,000 доларів, а після крадіжки він різко впав до XNUMX XNUMX доларів. 

Це некастодіальний протокол, який дозволяє створювати крос-маржинальні рахунки в мережі. 

Користувачі цих маржинальних рахунків можуть забезпечувати цілі гаманці, отримувати доступ до 10 разів більшого капіталу, ніж їх початкова вартість застави, і використовувати внесену заставу та позиковий капітал для взаємодії з будь-яким іншим протоколом DeFi без дозволу. 

Кредитори забезпечують ліквідність пулів позик Arcadia, отримуючи пасивний прибуток.

Оскільки хакери не були зберігачами, вони не змогли викрасти кошти безпосередньо з гаманців користувачів, а скоріше з тих, які використовувалися як резерви для випуску загорнутих токенів darcWETH і darcUSDC. 

Таким чином, darcWETH або darcUSDC не були вкрадені безпосередньо з гаманців користувачів, але WETH і USDC були викрадені з гаманців, на яких зберігалися резерви. Це означає, що більше не існує 1 WETH на кожен випущений darcWETH і 1 USDC на кожен випущений darcUSDC, тому фактично користувачі все ще мають усі свої упаковані токени, але більше не можуть їх викупити.

Проблема з загорнутими токенами

Часто кажуть, що некастодіальні гаманці безпечні, якщо їх правильно зберігати та обслуговувати, але іноді ризики криються на початку. 

Дійсно, для будь-якого некастодіального гаманця немає великої різниці в зберіганні оригінальних токенів, таких як USDC, або загорнутих токенів, таких як darcUSDC. 

Однак загорнуті токени мають додатковий рівень ризику. Фактично, зберіганням застави займаються не самі користувачі на своїх гаманцях, які не є зберігачем, а менеджери загорнутих токенів. 

Насправді це не дуже відрізняється від гаманця з опікою, оскільки зберігання застави певним чином еквівалентне зберіганню загорнутих токенів. 

Таким чином, навіть якщо гаманці користувачів, які тримають загорнуті токени, не були зламані, у разі порушення резервних гаманців користувачі все одно можуть втратити свої кошти просто тому, що, поки у них все ще є загорнуті токени, вони більше не можуть їх викупити. Таким чином їхня фактична вартість фактично дорівнює нулю. 

Насправді це також стосується USDC, тому що, хоча це не загорнутий токен, він є забезпеченим стейблкойном, тобто він має резерви як заставу, які зберігаються та управляються однією організацією (Circle). 

Вплив злому на крипторинки

Вплив цього злому на крипторинки був майже нульовим, якщо виключити загорнуті токени darcWETH і darcUSDC. 

OP, який є рідним токеном Optimism, також не зазнав серйозних втрат, настільки, що його ціна сьогодні рухалася відповідно до цін багатьох інших подібних токенів. 

Знову ж таки, 455,000 XNUMX доларів – це не так уже й багато, і на даний момент крипторинки виробили звичку до такого роду крадіжок на протоколах DeFi. 

Більше того, DeFi — це не біткойн, і зараз саме біткойн визначає тенденцію на криптовалютних ринках. 

Подібні ситуації служать лише для кращого розуміння ризиків, пов’язаних із використанням протоколів DeFi, особливо коли вони приховані, як у випадку з загорнутими токенами. 

Щось набагато гірше сталося в березні, коли було виявлено, що Circle зберігає значну частину резервів USDC у збанкрутілому банку Silvergate, настільки, що на мить виникли побоювання, що стейблкойн може втратити прив’язку до долара. 

Але потім центральний банк США безпосередньо втрутився, щоб покрити всі недоліки, таким чином повернувши всім вкладникам Silvergate усі їхні кошти.