Euler Finance Hack Postmortem paljastab 8-kuulise haavatavuse

Euler Finance'i kiirlaenu ärakasutamise järelanalüüs näitas, et ärakasutamise aluseks olnud haavatavus püsis ahelas 8 kuud. 

Haavatavuse tõttu kaotas Euler Finance selle nädala alguses 200 miljonit dollarit. 

Kaheksa kuud vana haavatavus 

Euler Finance'i auditeerimispartner Omniscia on avaldanud üksikasjaliku surmajärgse aruande, milles analüüsitakse haavatavust, mida häkkerid nädala alguses ära kasutasid. Surmajärgse aruande kohaselt tulenes haavatavus detsentraliseeritud finantsprotokolli valest annetusmehhanismist, mis võimaldas annetada ilma korraliku tervisekontrollita. Kood võeti kasutusele eIP-14-s, protokollis, mis tõi Euler Finance'i ökosüsteemis sisse hulga muudatusi. 

Euler Finance võimaldab kasutajatel luua kunstlikku võimendust, vermides ja deponeerides varasid sama tehinguga. See mehhanism võimaldas kasutajatel vermida rohkem žetoone kui Euler Finance'i enda tagatis. Uus mehhanism võimaldas kasutajatel annetada oma saldo selle märgi reservi, millega nad tehinguid tegid. Siiski ei suutnud ta annetamist teostaval kontol mingit tervisekontrolli läbi viia. 

Kuidas haavatavust ära kasutati 

Annetus oleks põhjustanud kasutaja võla (DToken) muutumatuks jäämise. Nende omakapitali (EToken) saldo aga väheneks. Sel hetkel tooks kasutaja konto likvideerimise kaasa osa Dtokenidest allesjäämise, mis tooks kaasa halbade võlgade tekkimise. See viga võimaldas ründajal luua ülevõimendatud positsiooni ja seejärel ise selle samas plokis likvideerida, pannes selle kunstlikult vee alla minema.

Kui häkker ise likvideerib, rakendatakse protsendipõhist allahindlust, mis põhjustab likvideerijale märkimisväärse osa ETokeni osakutest allahindlusega ja tagab, et need on "vee kohal", tekitades võla, mis vastaks omandatud tagatisele. Selle tulemuseks oleks halbade võlgadega rikkuja (DTokens) ja likvideerija, kelle võlg on ületagatisega. 

Omniscia teatas, et haavatavuse keskmes olev funktsioon ei kuulunud ettevõtte läbiviidud auditite hulka. Analüüsi kohaselt vastutas kõnealuse koodi ülevaatamise eest kolmanda osapoole audit, mis seejärel heaks kiideti. Funktsiooni donateToReserves auditeeris 2022. aasta juulis Sherlocki meeskond. Euler ja Sherlock kinnitasid ka, et esimesel oli ärakasutamise ajal Sherlockiga aktiivne levipoliitika. 

Turvagruppidega töötav Euler Finance 

Pärast ärakasutamist, Euleri rahandus teatas, et protokoll töötas edasiste auditite tegemiseks koos teiste turvagruppidega. Lisaks teatas ta, et võttis varastatud raha tagasi saamiseks ühendust ka õiguskaitseametnike ja -asutustega. 

"Oleme laastatud selle rünnaku mõjust Euleri protokolli kasutajatele ja jätkame koostööd oma turvapartnerite, õiguskaitseorganite ja laiema kogukonnaga, et see võimalikult hästi lahendada. Tänan teid väga teie toetuse ja julgustuse eest. ”

Kohustustest loobumine: see artikkel on ette nähtud ainult teavitamise eesmärgil. Seda ei pakuta ega kavatseta kasutada juriidilise, maksu-, investeerimis-, finants- või muu nõuandena.