Euler Finance подвергся флеш-атака займа, убытки составили почти 200 миллионов долларов

13 марта 2023 года флеш-атака займа против Euler Finance привела к огромным потерям в размере около 197 миллионов долларов, затронув 6 видов токенов. Атака использовала уязвимость в функции donateToReserves токена Etoken в проекте, которая не имела необходимых механизмов проверки ликвидности.

Анализ процесса атаки

Атакующий сначала получил срочные займы на сумму 30 миллионов DAI с одной из платформ кредитования, после чего развернул два ключевых контракта: один для операций по займам, другой для ликвидации. Процесс атаки примерно следующий:

1. Заложите 20 миллионов DAI в Euler Protocol и получите 19,5 миллионов eDAI.
2. Используя функцию 10-кратного плеча протокола Euler, займите около 195,6 миллиона eDAI и 200 миллионов dDAI.
3. Используйте оставшиеся 10 миллионов DAI для частичного погашения долга и уничтожьте соответствующие dDAI.
4. Снова займите равное количество eDAI и dDAI.
5. Пожертвовав 100 миллионов eDAI через функцию donateToReserves, сразу же проведите ликвидацию и получите 310 миллионов dDAI и 250 миллионов eDAI.
6. В конце было извлечено около 3890 миллионов DAI, после погашения Срочных займов получена прибыль около 887 миллионов DAI.

Корень уязвимости

Суть этой атаки заключается в том, что функция donateToReserves не содержит необходимых проверок ликвидности. В отличие от функции mint, функция donateToReserves не выполняет шаг checkLiquidity, который должен вызывать модуль RiskManager для обеспечения того, чтобы количество Etoken у пользователя было больше, чем количество Dtoken.

Этот промах позволил злоумышленникам манипулировать состоянием своих счетов, чтобы соответствовать условиям ликвидации, а затем получать огромную прибыль через процесс ликвидации.

Рекомендации по безопасности

В связи с подобными уязвимостями DeFi-проекты, особенно кредитные платформы, должны:

1. Укрепить аудит безопасности контрактов, чтобы гарантировать, что все ключевые функции содержат необходимые проверки безопасности.
2. Особое внимание уделите безопасности основных функций, таких как возврат средств, мониторинг ликвидности и ликвидация долгов.
3. Реализуйте многослойные механизмы безопасности, чтобы избежать масштабных потерь из-за единой точки отказа.
4. Регулярно проводить оценку безопасности и стресс-тесты, своевременно выявлять и устранять потенциальные риски.

Этот инцидент вновь подчеркивает важность безопасности смарт-контрактов и необходимость оставаться бдительными в быстро развивающейся сфере DeFi. Проектам следует извлекать уроки, постоянно совершенствуя меры безопасности для защиты активов пользователей и поддержания здорового развития экосистемы.