Czym jest atak typu Flash na pożyczkę i jak można mu zapobiec?



Sposób, w jaki ludzie postrzegają i wykorzystują kryptowaluty, zmienił się znacznie od czasu rozwoju zdecentralizowanego finansowania (DeFi), zwłaszcza w przypadku niezależnych platform finansowych oferujących różne rodzaje pożyczek kryptowalutowych, które z kolei zapewniają dużą wartość zarówno pożyczkodawcom, jak i pożyczkodawcom.

Jednym z takich pożyczek, które zyskały popularność w ekosystemie DeFi, jest pożyczka typu flash, ponieważ umożliwia pożyczkobiorcom szybkie korzystanie z możliwości arbitrażu. Zapewnia pożyczone fundusze na zakup aktywów kryptowalutowych, ich sprzedaż, spłatę pożyczki i zysk.

Niestety, chociaż pomysł jest doskonały i działa dobrze, są ci, którzy wykorzystują tę formę pożyczek. Czytaj dalej, aby dowiedzieć się więcej o atakach typu flash loan i o tym, jak im zapobiegać.

Czym jest atak typu Flash na pożyczkę?

Atak typu „flash loan” to nadużycie zabezpieczeń inteligentnego kontraktu danej platformy, na której atakujący zazwyczaj pożycza wiele funduszy, które nie wymagają zabezpieczenia. Następnie manipulują ceną aktywów kryptowalutowych na jednej giełdzie i szybko odsprzedają je na drugiej.

Proces jest szybki, a atakujący powtarza proces wiele razy przed zakończeniem i opuszczeniem bez śladu.

Czym jest kredyt Flash?

Rozwój przestrzeni pożyczkowej DeFi sprawił, że kryptowaluty stały się bardzo popularne. Ponieważ wykorzystują one pełną moc obecnie dostępnych technologii, kredyty flash stały się bardzo atrakcyjną formą pożyczek.

Termin pożyczka flash opisuje, kiedy pożyczkobiorca bierze pożyczkę bez konieczności zabezpieczenia. Możesz się zastanawiać: Jak to możliwe? Korzystając z inteligentnej umowy platformy , cały proces pożyczek i zwrotów odbywa się w ramach jednej transakcji na blockchain.

Oznacza to, że pożyczkobiorca musi działać szybko i zwrócić pożyczkę w krótkim czasie. Jeśli pożyczkodawca w jakikolwiek sposób nie wywiąże się z zobowiązań, cała transakcja zostanie unieważniona, tak jakby nic się nie wydarzyło.

Zasada jest prosta i bardzo praktyczna. W przeciwieństwie do tradycyjnych, zabezpieczonych pożyczek, nie potrzebujesz żadnych zabezpieczeń, punktów kredytowych ani administracji, aby przetworzyć niezabezpieczoną pożyczkę. Możesz w ciągu kilku sekund zdobyć duże ilościtablecoinów i wykorzystać je na swoją korzyść.

Właśnie to robią niektórzy traderzy na różnych platformach DeFi. Na przykład,Poza użytkownikami można uzyskać takie pożyczki, wykorzystać środki na możliwość arbitrażu, oddać pożyczkę i zatrzymać zyski.

Proces pożyczek i pożyczek jest zautomatyzowany, a gdy wszystko działa, zarówno pożyczkodawca, jak i pożyczkobiorca czerpią korzyści z kredytu. Jeśli coś pójdzie nie tak, transakcja zostanie anulowana i nie będzie zysku dla żadnej ze stron.

Czy ataki na pożyczki flash są powszechne?

Biorąc pod uwagę to, jak technologia wciąż ewoluuje, ataki na kredyty typu flash DeFi są obecnie powszechne. Obecnie ponad 70 exploitów DeFi zostało wykorzystanych do kradzieży ogromnych kwot, do poziomu około 1,5 mld USD. Trend ten będzie prawdopodobnie kontynuowany w nadchodzących latach, ponieważ nienaruszanie bezpieczeństwa platformy jest trudnym zadaniem.

Pierwsze wyzwanie sprowadza się do niezdolności programisty do usunięcia wszystkich możliwych słabości, ponieważ technologia blockchain jest całkiem nowa. Kolejnym problemem jest to, że systemy są rozwijane szybko, a w każdym z tych projektów jest dużo pieniędzy. Stawka jest wysoka, a wielu programistów próbuje różnych metod wyszukiwania błędów w systemie. Niektórzy atakujący kredyty flash wykorzystują nieprawidłowe obliczenia pul płynności. Nadal inne to ataki górnicze lub błędy kodowania.

Niestety, to, co wszystko umożliwia, to również słabość. 

Wyzwaniem dla inteligentnych kontraktów jest to, że mają pełną kontrolę nad protokołami DeFi. Gdy atakujący zrozumieją, jak działają one szczegółowo, mogą manipulować niedociągnięciami kontraktu i wykorzystywać je na swoją korzyść.

Oznacza to, że bezpieczeństwo DeFi jest delikatną równowagą: umiejętnością twórcy kontraktu protokołu z jednej strony, a hakerem z drugiej.

Kolejna podatność sprowadza się do danych cenowych platformy. Ponieważ na całym świecie odbywa się wiele transakcji, znalezienie jednej prawdziwej ceny kryptowalutowych aktywów cyfrowych jest praktycznie niemożliwe. Ta różnica w cenach sprawia, że handel arbitrami jest atrakcyjny. Następujące rynki to świetny sposób na osiąganie zysków ze względu na uzasadnione wahania cen. Ataki typu flash na kredyty manipulują cenami i wykorzystują nagłą zmianę. 

Gdy atakujący otrzymuje kredyt flash, tworzy sztuczną sprzedaż, powodując gwałtowny spadek ceny aktywów kryptowalutowych.

Na szczęście istnieją już systemy zapobiegające takim nadużyciom pożyczek bez zabezpieczenia. Zajmiemy się tym zaraz po zapoznaniu się z kilkoma przykładami ataków typu flash loan.

Przykłady ataku na kredyt Flash

Do tej pory zdarzały się dziesiątki przypadków ataków typu flash loan. Oto tylko niektóre z największych.

Finanse kremowe

W 2021 r. dział finansów C.R.E.A.M. był wielokrotnie atakowany. Jeden z największych heistów zaangażował 130 mln USD . Przestępcy ukradli tokeny płynności CREAM, w nieujawnionym czasie sięgające milionów dolarów. Wszystkie straty są widoczne włańcuchu , a winowajcy jeszcze nie zostali złapani.

Na szczęście luka była tylko częścią systemu DeFi Cream, ponieważ platforma ich łączącego się partnera, Yearn Finance, pozostała bezpieczna. Podobnie jak w przypadku większości hakerów protokołu DeFi, atakujący wykorzystywali wiele pożyczek typu flash i manipulowali cenami teoracle.

Z pomocą zespołu Yearna platforma szybko zlikwidowała lukę w zabezpieczeniach.

Alfa Homora

W lutym 2021 r. włamanie do protokołu Alpha Homora spowodowało stratę 37 milionów USD. Atakujący pożyczki flash użył również Iron Banku C.R.E.A.M. Finance poprzez serię pożyczek flash. Iron Bank jest ramieniem kredytowym protokołu Alpha Homora. 

Hakerzy wielokrotnie powtarzali ten proces, aż zgromadzili CreamY USD (lub cyUSD), a następnie użyczyli tokenów, aby pożyczyć inne kryptowaluty. Hack był dość złożony i obejmował wiele kroków. W zasadzie atakujący mocno manipulował pulą sUSD HomoraBank v2.

Przeprowadzili szereg transakcji i pożyczek typu flash, co pozwoliło im nadużywać protokołu pożyczek między HomoraBank v2 a Iron Bank. Możesz bardziej szczegółowo zbadać atak Alpha Homora po śmiertelniku, aby zobaczyć, co zrobili hakerzy.

Dodatkowo wykorzystali zaokrąglanie błędnie obliczoną kalkulację pożyczki w sytuacjach, gdy istnieje jeden pożyczkobiorca. 

dYdX

Istnieją przypadki, gdy granie w protokoły wymaga odpowiedniego czasu i manipulacji cenami. Tak było w przypadku exploitu dYdX na początku 2020 roku. Atakujący wykorzystał platformę, aby uzyskać kredyt typu flash, a następnie podzielił fundusze i wykorzystał je na dwóch platformach transakcyjnych – Fulcrum i Compound.

Pierwszą część wykorzystano na Fulcrum w zamian za ETH do WBTC. W tym procesie Kyber Network otrzymał zamówienie za pośrednictwem systemu Uniswap’sDEX . Sztuka polegała na tym, że basen o niskiej płynności Uniswap poprowadził cenę WBTC niezwykle wysoko.

Jednocześnie atakujący wykorzystał drugą część pożyczki na platformie Compound, aby uzyskać kredyt flash WBTC. Wraz z gwałtownym wzrostem cen Uniswap, atakujący szybko dokonał wymiany – i osiągnął znaczny nielegalny zysk.

PancakeBunny

W maju 2021 r. haker poddał platformę PancakeBunny testowi, kradnąc blisko 3 miliony dolarów. Haker najpierw wykorzystał PancakeSwap, aby uzyskać dużą pożyczkę BNB. Podczas ataku haker manipulował parami transakcyjnymi BUNNY/BNB i USDT/BNB.

Po tym czasie duża pożyczka flash dostarczyła hakerowi ogromną ilość tokenów BUNNY, które natychmiast wyrzucił, spłacił BNB i zniknął z zyskiem. Cała oferta doprowadziła do szokującego spadku cen PancakeBunny z 146 USD do 6,17 USD.

Jak zapobiec atakowi pożyczki typu Flash?

Ponieważ coraz więcej ataków ma miejsce, eksperci ds. bezpieczeństwa dowiadują się więcej o różnych exploitach flash pożyczki. Wszystkie luki w powyższych przykładach zostały poprawione, a ich wystąpienia przyniosły poród do dwóch popularnych rozwiązań.

Zdecentralizowane Oracle cenowe

Ponieważ większość ataków typu flash na pożyczki zależy od manipulacji cenami, konieczne jest przeciwdziałanie temu podejściu za pomocą zdecentralizowanych cenników lubacles. Dobrymi przykładami sąChainlink iBand Protocol. Platformy te zapewniają bezpieczeństwo wszystkich protokołów, prezentując dokładne ceny różnych kryptowalut.

Na przykład ataki typu DeFi, takie jak te, które zdarzyły się dYdX, nie będą możliwe, ponieważ protokoły nie będą otrzymywać danych cenowych z pojedynczego DEX .

Alpha Homora korzysta teraz z narzędzia Alpha Oracle Aggregator, aby zapobiec powtarzaniu się historii. Zobaczymy więcej takich systemów, ponieważ wielkość rynku rozwiązań DeFi stale rośnie.

Wdrożenie platform bezpieczeństwa DeFi

Ekosystem DeFi wykorzystuje najnowocześniejsze technologie, które zmieniają perspektywy międzynarodowych systemów finansowych. Tego rodzaju uwaga stanowi duże obciążenie dla całego systemu.

Dobra wiadomość jest taka, że istnieją już konkretne platformy, które radzą sobie z obecnymi wyzwaniami w zakresie bezpieczeństwa.OpenZeppelin to idealny przykład. Jego rolą w całym ekosystemie jest ochrona inteligentnych kontraktów i platform DeFi jako całości.

Oprócz możliwości inteligentnego audytu kontraktów, rozwiązania takie jakDefender Sentinels zapewniają stałą ochronę przed atakami typu flash loan. Programiści mogą używać tego narzędzia do automatyzacji swoich strategii obronnych, szybkiego zatrzymywania całych systemów i wdrażania poprawek.

Tego rodzaju szybka reakcja jest niezbędna do zminimalizowania możliwych szkód, jakie może ponieść atak typu flash loan.

Wielcy gracze, tacy jak Yearn.finance, Foundation Labs, dYdX, Opyn, The Graph, PoolTogether i wielu innych, już korzystają z platformy do neutralizacji ataków na ich systemy.

Czy kredyty Flash są wolne od ryzyka?

Gdy wszystko działa zgodnie z przeznaczeniem, kredyty flash są całkowicie wolne od ryzyka. Kredytobiorca i pożyczkodawca mogą skorzystać z transakcji, jeśli spełnią wszystkie inteligentne warunki kontraktu.

Z perspektywy pożyczkodawcy nigdy nie rozdają żadnych pieniędzy. Wszystko to jest sztuczne i staje się częścią informacji blockchain, jeśli pożyczkobiorca podejmie wszystkie niezbędne kroki. Jeśli pożyczkobiorca ustawi wartość domyślną, ta sama transakcja zostanie po prostu odrzucona.

Kredytobiorca nadal ma swoje środki, a pożyczkobiorca nie jest winien żadnych pieniędzy nikomu.

Z drugiej strony pożyczkobiorca może jedynie osiągnąć zysk. Mogą wykorzystać pożyczone fundusze, aby osiągnąć zysk z arbitrażu na rynku kryptowalut. Jeśli transakcja przepadnie, pieniądze po prostu wracają do pożyczkodawcy.

Idealnie byłoby, gdyby projekt systemu zapewniał bez ryzyka, natychmiastowe pożyczanie i pożyczanie. Aby jednak upewnić się, że wszystko jest wolne od ryzyka, inteligentne kontrakty muszą obejmować wszystkie szczegóły transakcji. W ten sposób atakujący nie będą narażeni na wykorzystywanie.

W związku z tym, jeśli chodzi o kredyty flash, największym ryzykiem, które obecnie plasuje ekosystem DeFi, są wycieki danych, a także inteligentne błędy kontraktowe, które pozwalają na te ataki.

Chociaż sprawy nie wyglądają teraz idealnie, z czasem systemy te staną się bezpieczne. Dzięki platformom, takim jak Chainlink i OpenZeppelin, ataki typu flash loan prawdopodobnie staną się częścią historii.

Konkluzja

Kredyty flash to kolejny wspaniały dodatek do ekosystemu DeFi. Chociaż obecnie są skłonni do ataku, tidee zmienią się w przyszłości. 

Deweloperzy piszą lepsze inteligentne kontrakty, a więcej systemów wdraża narzędzia bezpieczeństwa i zdecentralizowane ataki cenowe, a liczba ataków hakerów będzie maleć.

Jeśli zastanawiasz się, czy pożyczki flash to dobra inwestycja, uważamy, że odpowiedź brzmi „tak”. Pamiętaj, że zawsze istnieje co najmniej niskie ryzyko ataku typu „flash loan”, więc ostrożnie korzystaj z kryptowalut, pożyczając je na platformach DeFi.

Chcesz dowiedzieć się więcej o pożyczkach DeFi? Wszystkie szczegóły znajdziesz w szczegółowym przewodniku na naszym blogu.