Експлойт оракула 42DAO спричиняє збої балансу монети Coin (BLC) на 99% після $912K DeFi-хака

• Маніпуляція оракулом призвела до викрадення приблизно 912 000 доларів із 42DAO, через що Balance Coin (BLC) впав більш ніж на 99%.
• Відсутність механізмів автентифікації та захисту оракула дозволила хакеру маніпулювати цінами BTCB і ініціювати ліквідації.

Одна вада в механізмі встановлення ціни 42DAO стала причиною одного з найсвіжіших збоїв у децентралізованій фінансовій екосистемі цього року. Хакери скористалися вразливостями в оракульному дизайні протоколу. Це призвело до викрадення приблизно 912 000 доларів і падіння Balance Coin (BLC) більш ніж на 99%. Дуже швидко експлойт знищив ринкову довіру, адже BLC впав із майже одного долара до лише частки цента, як повідомляє PeckShield Alert.

Зловмисник використав функцію Spotter poke протоколу, щоб ін’єктувати в обліковий контракт штучно низьку ціну BTCB. За відсутності лімітів відхилення ціни, мінімальних вимог до ціни та обмежень максимального просідання з боку 42DAO низька ціна активувалася миттєво й спричинила автоматизацію систем ліквідації. Це сталося тому, що неправильна ціна автоматично використовувалася для запуску модуля ліквідації Dog для кількох сейфів, забезпечених BTCB.

Конструктивні вади оракулів призвели до збитків

З експлойту очевидно, що відсутність заходів безпеки в оракулах може легко призвести до суттєвих втрат, коли маніпульовані ціни застосовуються в системі. На відміну від атак на криптографію, ця атака ґрунтувалася на конструктивних вадах оракула цін і процесу ліквідації.

Оскільки автоматичні ліквідації стали поширеними в межах протоколу, це спричинило швидке падіння вартості Balance Coins через тиск продажів. Після експлойту ринкова капіталізація BLC знизилася приблизно до 12 000 доларів. Це стало наслідком масових виведень коштів у межах торгів децентралізованих бірж.

Зростаючі загрози безпеці оракулів у секторі DeFi

Це порушення безпеки — лише один із кількох великих хаків у сфері децентралізованих фінансів, що сталися в останні місяці. Проєкт Allbridge зупинив свої кросчейн-послуги після того, як хакери скористалися співвідношенням лліквіднісних пулів і вкрали близько 1,65 мільйона доларів. Syscoin зламали, що дозволило карбувати мільярди фейкових монет. Echo Protocol також довелося зупинити свої кросчейн-транзакції після несанкціонованого карбування eBTC.

Одна річ об’єднує всі ці інциденти. Тепер хакери намагаються знаходити вразливості в архітектурі протоколів, а не намагатися зламати шифрування. Фахівці з безпеки й надалі рекомендують розробникам додавати валідацію оракулів. Також пропонують обмежувати відхилення цін і застосовувати інші контролі ліквідації перед розгортанням своїх розумних контрактів на основній мережі. Із поширенням сектора DeFi захист від атак на оракули зараз критично важливий для стабільності протоколу та захисту коштів користувачів.

Виділені криптоновини:
Експлойт SecondFi розкриває ключі гаманця, ставлячи під ризик понад $20M у активах Cardano