Euler Finance зазнав флеш-атаки, збитки становлять майже 200 мільйонів доларів

13 березня 2023 року проект Euler Finance зазнав флеш-атаки через вразливість смарт-контракту, що призвело до значних втрат у розмірі близько 197 мільйонів доларів. Зловмисник скористався вразливістю в функції donateToReserves контракту, яка не містила перевірки ліквідності, і здійснив атаку через багаторазові операції.

Аналіз процесу атаки

Основні кроки атакуючого такі:

1. Взяли в борг 30 мільйонів DAI через Термінові позики з певної платформи позик і розгорнули два контракти: один для позики, інший для ліквідації.

2. Заложити 20 мільйонів DAI в контракт Euler Protocol, отримавши 19,5 мільйона eDAI.

3. Використовуючи функцію 10-кратного важеля Euler Protocol, позичити 1.956 мільйона eDAI та 2 мільйони dDAI.

4. Використати залишок у 10 мільйонів DAI для часткового погашення боргу, знищити відповідну кількість dDAI, а потім знову позичити таку ж кількість eDAI і dDAI.

5. Через функцію donateToReserves пожертвувати 100 мільйонів eDAI, а потім викликати функцію liquidate для ліквідації, отримавши 310 мільйонів dDAI та 250 мільйонів eDAI.

6. Нарешті вилучено 3890 тисяч DAI, повернуто 3000 тисяч Термінові позики, чистий прибуток близько 887 тисяч DAI.

Причина вразливості

Ядро атаки полягає в тому, що в контракті Euler Finance функція donateToReserves не має необхідної перевірки ліквідності. На відміну від інших ключових функцій (таких як mint), функція donateToReserves не викликає checkLiquidity для перевірки ліквідності користувача. Це дозволяє зловмисникам за допомогою певних дій потрапити в стан, що підлягає ліквідації, а потім завершити ліквідацію для отримання прибутку.

У нормальних умовах функція checkLiquidity викликає модуль RiskManager, щоб забезпечити, що Etoken користувача завжди перевищує Dtoken, для підтримки безпеки контракту. Проте функція donateToReserves пропускає цей важливий крок, що призводить до серйозного вразливості безпеки.

Уроки та поради

Ця подія ще раз підкреслила важливість аудиту безпеки смарт-контрактів. Для проектів у сфері кредитування необхідно звернути особливу увагу на кілька ключових аспектів:

1. Цілісність механізму повернення коштів
2. Всеобсягність перевірки ліквідності
3. Безпека процесу ліквідації боргів

Команда проекту повинна провести повний аудит безпеки перед запуском, щоб забезпечити строгий контроль безпеки для кожної функції контракту. Одночасно, постійний моніторинг безпеки та програма винагород за вразливості також є ефективними заходами для забезпечення довгострокової безпеки проекту.

Крім того, розробники повинні звертати увагу на узгодженість між функціями, щоб забезпечити правильну реалізацію критичних перевірок безпеки (таких як перевірка ліквідності) у всіх відповідних функціях. Це не лише стосується основних функцій, але також повинно охоплювати допоміжні функції, такі як донати.

Нарешті, рекомендується проектним командам та розробникам залишатися насторожі щодо нових методів атак, регулярно оновлювати стратегії безпеки для протистояння постійно змінюючим загрозам безпеки блокчейну.