Euler Financeはフラッシュローン攻撃を受け、2億ドル近い損失を被りました

2023年3月13日、Euler Financeに対するフラッシュローン攻撃が行われ、約1.97億ドルの巨額損失が発生し、6種類のトークンが関与しました。この攻撃は、プロジェクト内のEtokenのdonateToReserves関数に存在する脆弱性を利用し、必要な流動性チェック機構が欠如していました。

! [オイラーファイナンスの脆弱性分析:フラッシュローンに攻撃され、1億9,700万ドルを失う方法] ](https://img-cdn.gateio.im/webp-social/moments-d96e9a72838647eecb62e1dfc48f2f5d.webp)

攻撃プロセス分析

攻撃者は最初にある貸出プラットフォームから3000万DAIのフラッシュローンを取得し、その後、2つの重要なコントラクトをデプロイしました：1つは貸出操作用、もう1つは清算用です。攻撃プロセスは大まかに以下のようになります：

1. オイラー議定書に2,000万DAIを賭けて、1,950万eDAIを取得します。
2. オイラープロトコルの10倍のレバレッジを活用して、約1億9,560万のeDAIと2億のdDAIを貸し出します。
3. 残りの1000万DAIを使用して一部の債務を返済し、対応するdDAIを焼却します。
4. eDAIとdDAIを同額再度貸し出します。
5. donateToReserves機能を通じて1億eDAIを寄付し、その後清算操作に進み、3億1,000万dDAIと2億5,000万eDAIを取得します。
6. 最後に約3890万DAIを引き出し、フラッシュローンを返済した後、約887万DAIの利益を得ました。

! [オイラーファイナンスの脆弱性分析:フラッシュローンに攻撃され、1億9,700万ドルを失う方法] ](https://img-cdn.gateio.im/webp-social/moments-32928681c9e7631491b5a5f1699820a9.webp)

! [オイラーファイナンスの脆弱性分析:フラッシュローンに攻撃され、1億9,700万ドルを失う方法] ](https://img-cdn.gateio.im/webp-social/moments-6d4e5a95a6c33353e8f326a5f074b12b.webp)

! [オイラーファイナンスの脆弱性分析:フラッシュローンに攻撃され、1億9,700万ドルを失う方法] ](https://img-cdn.gateio.im/webp-social/moments-a52f3c784e670d5ebb507b20436f78a0.webp)

! [オイラーファイナンスの脆弱性分析:フラッシュローンに攻撃され、1億9,700万ドルを失う方法] ](https://img-cdn.gateio.im/webp-social/moments-6246cad18508cd8a8c88619d67fe149c.webp)

! [オイラーファイナンスの脆弱性分析:フラッシュローンに攻撃され、1億9,700万ドルを失う方法] ](https://img-cdn.gateio.im/webp-social/moments-84b8e2f409d5518b194b74407b07e02e.webp)

! [オイラーファイナンスの脆弱性分析:フラッシュローンに攻撃され、1億9,700万ドルを失う方法] ](https://img-cdn.gateio.im/webp-social/moments-17ba97f8bbe91404afdca27e5c1dc559.webp)

! [オイラーファイナンスの脆弱性分析:フラッシュローンに攻撃され、1億9,700万ドルを失う方法] ](https://img-cdn.gateio.im/webp-social/moments-469ffb75f34d18ce6807e39d655ca789.webp)

! [オイラーファイナンスの脆弱性分析:フラッシュローンに攻撃され、1億9,700万ドルを失う方法] ](https://img-cdn.gateio.im/webp-social/moments-365fa6b36d54052ee6efd59f44a1a6f5.webp)

! [オイラーファイナンスの脆弱性分析:フラッシュローンに攻撃され、1億9,700万ドルを失う方法] ](https://img-cdn.gateio.im/webp-social/moments-c071e7e84eb0dc7826b7c954f546987e.webp)

根本原因

今回の攻撃の核心は、donateToReserves関数に必要な流動性チェックが欠けていることです。mint関数と比較して、donateToReserves関数はcheckLiquidityステップを実行しておらず、このステップはRiskManagerモジュールを呼び出して、ユーザーのEtokenの数がDtokenの数よりも大きいことを確認する必要がありました。

この不注意により、攻撃者は自分のアカウントの状態を操作し、清算の条件を満たすことができ、その後清算プロセスを通じて巨額の利益を得ることができました。

! [オイラーファイナンスの脆弱性分析:フラッシュローンに攻撃され、1億9,700万ドルを失う方法] ](https://img-cdn.gateio.im/webp-social/moments-a00d28f9fe7463d52cfd055540fad6af.webp)

セキュリティアドバイス

このような脆弱性に対して、DeFiプロジェクト、特に貸出プラットフォームは次のようにすべきです：

1. コントラクトのセキュリティ監査を強化し、すべての重要な関数に必要なセキュリティチェックが含まれていることを確認します。
2. 特に資金の返済、流動性の検出、債務の清算などのコア機能の安全性に注意を払うこと。
3. 複数のセキュリティメカニズムを実施し、単一障害点による大規模損失を回避します。
4. 定期的にセキュリティ評価とストレステストを実施し、潜在的なリスクを迅速に発見し修正します。

この事件は再びスマートコントラクトのセキュリティの重要性と、急速に進展するDeFi分野で警戒を怠らない必要性を浮き彫りにしました。プロジェクト側は教訓を得て、ユーザーの資産を保護し、エコシステムの健全な発展を維持するためにセキュリティ対策を常に改善するべきです。