Yearn.finance nhanh chóng sửa chữa lỗ hổng kinh tế và tránh được cuộc tấn công flash loan tương tự Harvest Finance

Updated: 02/11/2020 at 21:00

Harvest Finance, từng là giao thức canh tác lợi nhuận 1 tỷ đô la trên Ethereum, đã trải qua một cuộc tấn công tàn bạo vào tuần trước, đánh cắp khoảng 30 triệu đô la khỏi tài khoản người dùng.

Kẻ tấn công đã tận dụng flash loan, cùng với thao túng một loạt các giao dịch giữa Curve, Uniswap và Harvest, cho phép chúng rút hàng triệu đô la stablecoin từ các pool của Harvest.

Yearn.finance nhanh chóng sửa chữa “vector tấn công” tương tự như một vector được sử dụng trên giao thức 1 tỷ đô la Harvest

Các báo cáo chỉ ra rằng kẻ tấn công đã có thể tiếp tục và rút gần 1 tỷ đô la stablecoin và tiền gửi Bitcoin được mã hóa trong giao thức, nhưng hắn đã chọn không làm như vậy vì một lý do không giải thích được.

Cuộc tấn công này đã làm nổi bật cách flash loan có thể được sử dụng để khai thác các lỗ hổng kinh tế trong các giao thức DeFi và thu về hàng triệu đô la.

Không rõ liệu anh ta có được truyền cảm hứng bởi cuộc tấn công Harvest Finance hay không, một nhà nghiên cứu bảo mật trong không gian đã tìm thấy một lỗ hổng kinh tế tương tự trong Yearn.finance. May mắn thay, thay vì khai thác lỗ hổng này, anh ấy đã báo cáo nó với nhóm Yearn.finance.

Các nhà phát triển của Yearn.finance nhanh chóng sửa chữa lỗ hổng

Theo báo cáo của nhà phát triển Yearn.finance Artem “Banteg” K, vào ngày 29/10, nhóm đằng sau giao thức đã được nhà nghiên cứu bảo mật Wen-Ding Li liên hệ thông qua các kênh tiết lộ bảo mật cần thiết.

Wen-Ding Li đã mô tả một vectơ tấn công tiềm ẩn của một cuộc tấn công flash loan có thể diễn ra trên TUSD Vault của Yearn.finance. Sản phẩm cốt lõi của Yearn.finance là Vault, vận hành các chiến lược tự động mang lại lợi nhuận canh tác với token được ký gửi trong mỗi Vault.

“Sau khi thiết lập liên lạc, Wen-Ding tiết lộ rằng anh ta có bằng chứng ban đầu về khái niệm tấn công flash loan có thể được gắn trên TUSD vault, dẫn đến thiệt hại 18% cho người dùng, với kẻ tấn công có thể bỏ đi với 650,000 TUSD”.

Theo lý thuyết, Vectơ tấn công tương tự như vụ tấn công Harvest, Yearn.finance Vault đã không tính toán đúng đến sự trượt giá trong Curve khi ký gửi và nhập, cho phép họ thao túng giá của stablecoin trên Curve để có lợi cho họ.

Như Banteg giải thích thêm:

“Tổng hợp lại, điều này có nghĩa là kẻ tấn công có thể phá vỡ nguồn cung DAI trong pool của Curve và kiếm lợi nhuận từ sự mất cân bằng gây ra”.

May mắn thay, việc khai thác đã nhanh chóng được vá và Vault không còn dễ bị tấn công.

Về mặt chủ đích, các Vault của Yearn.finance cho DAI và GUSD dễ bị tấn công bởi cùng một phương tiện tấn công nhưng các biện pháp thích hợp đã được áp dụng để tránh điều này xảy ra.

Vector tấn công này xuất hiện ngay sau khi một vector khác được vá. Được thông báo vào cuối tháng 9, các nhà phát triển đã vá một “lỗ hổng bảo mật mà có thể khiến tiền tại các vault của yDAI, yTUSD và yUSD gặp rủi ro“.

Ông Giáo

Theo Cryptoslate

Được đề cập trong bài viết
Bình luận
Đang tải
Mới cập nhật

Thị trường crypto đang ở giai đoạn hưng phấn khi phần lớn các nhà đầu tư đều đang ngồi trên khoản lợi nhuận khổng lồ. Tuy nhiên, chính điều này lại khiến giới phân tích lo ngại về khả năng xuất hiện một làn sóng chốt lời mạnh mẽ, kéo... ...

Hiện nay, các nhà đầu tư tiền điện tử đang ngày càng mệt mỏi với việc mua token rồi phải chờ đợi hàng tháng trời cho những tiện ích được hứa hẹn nhưng chẳng bao giờ trở thành hiện thực. Chính vì vậy, dự án PEPENODE đã xuất hiện nhằm... ...

JUP, token gốc của nền tảng trao đổi phi tập trung Jupiter, đang thu hút sự chú ý sau khi ghi nhận mức tăng trưởng đáng kể trong những ngày gần đây. Theo dữ liệu thị trường, tại thời điểm viết bài, khối lượng giao dịch hàng ngày của JUP... ...

Mặc dù Bitcoin là đồng tiền điện tử đầu tiên và có giá trị vốn hóa thị trường lớn nhất, nhưng nó lại gặp nhiều hạn chế về mặt kỹ thuật, đặc biệt là khả năng mở rộng. Tốc độ xử lý trung bình chỉ khoảng 7 giao dịch mỗi... ...

Thị trường trái phiếu kho bạc Mỹ token hóa (RWA) vừa lập đỉnh mới với tổng giá trị 7,45 tỷ USD vào ngày 27/8, vượt qua kỷ lục trước đó 7,42 tỷ USD vào ngày 15/7. Theo dữ liệu từ rwa.xyz, cột mốc này đánh dấu sự phục hồi 14%... ...

Pyth Network (PYTH), Pump.fun (PUMP) và POL (POL) đã bứt phá mạnh mẽ với PYTH tăng hơn 99% trong phiên giao dịch ngày thứ Năm, nhờ động lực từ việc tích hợp dữ liệu Tổng sản phẩm quốc nội (GDP) của Mỹ lên blockchain. Đà tăng này càng được củng... ...

Thị trường crypto đang bước vào một giai đoạn đầy nhạy cảm khi khối lượng quyền chọn tháng 8 trị giá hàng chục tỷ USD sẽ chính thức hết hạn trong ngày hôm nay, thứ Sáu – phiên đáo hạn quan trọng nhất của tháng. Sự kiện này dự kiến... ...

Raydium (RAY) có xu hướng tăng trong những tuần gần đây. Trong tuần qua, token này đã tăng 15,15%. Token này cũng cho thấy sức mạnh vượt trội so với Bitcoin và Ethereum (ETH). Kể từ tháng 5, Tổng giá trị bị khóa (TVL) của Raydium có xu hướng tăng.... ...

Bộ trưởng Tài chính Mỹ Scott Bessent vừa công khai ủng hộ stablecoin neo theo USD, tạo tiền đề để dòng vốn khổng lồ lên tới 34.000 tỷ USD chảy vào các giao thức tài chính phi tập trung (DeFi) như Ethena, Ether.fi và Hyperliquid. Trong bài viết ngày 27/8,... ...

Thị trường memecoin đang khép lại tháng 8 với kết quả ảm đạm, chỉ tăng 1,3% trong tuần qua và gần như đi ngang. Trong 30 ngày vừa qua, các token lớn vẫn chìm sâu trong sắc đỏ — PEPE giảm 13%, TRUMP giảm 12%, BONK mất hơn 32% và... ...

Xem thêm bài viết

Chọn chế độ hiển thị:
Bình thường Bảo vệ mắt Dark Mode