Phân tích về khai thác thao túng oracle trị giá 700 nghìn đô la làm nổi bật các lỗ hổng trong kho DeFi

Một cuộc tấn công tài chính phi tập trung gần đây đã làm nổi bật cách mà các lỗ hổng trong việc triển khai tiêu chuẩn của một số kho DeFi có thể bị khai thác bởi một tác nhân đe dọa tinh vi sử dụng các công cụ quen thuộc như flash loans để thao túng tỷ giá hối đoái và đánh lừa các oracle giá. 

Vào ngày 27 tháng 2, một kẻ tấn công đã thực hiện một "cuộc tấn công quyên góp" dựa trên flash loan, vay khoảng 4 triệu đô la từ Aave để khai thác token kho ERC-4626 cho stablecoin sinh lợi bọc của Mountain Protocol, wUSDM, làm tăng tỷ giá hối đoái nội bộ của nó một cách giả tạo. Stablecoin cơ bản, USDM, được thế chấp bằng các hóa đơn Kho bạc Hoa Kỳ ngắn hạn.

Như một phần của cuộc tấn công quyên góp, tác nhân đe dọa đã làm tăng tỷ giá hối đoái của wUSDM từ 1.06 lên 1.7, sau đó sử dụng hai tài khoản để thực hiện tự thanh lý trên nền tảng cho vay Venus Protocol. Mặc dù Venus đã phản ứng nhanh chóng để đóng băng thị trường, kẻ tấn công đã kiếm được khoảng 200,000 đô la lợi nhuận, trong khi Venus chịu tổn thất ròng hơn 716,000 đô la, theo một báo cáo chi tiết gần đây được phát hành bởi công ty quản lý rủi ro Chaos Labs. 

"Cả hai đội đã thực hiện các biện pháp khẩn cấp thích hợp — đóng băng thị trường, điều chỉnh các thông số rủi ro và đặt lại tỷ giá hối đoái," Yoni Keselbrener, trưởng bộ phận DeFi tại Lightblocks Labs, cho biết trong một cuộc phỏng vấn với The Block. Keselbrener đóng góp vào cơ sở hạ tầng oracle trên eOracle, một mạng lưới oracle gốc Ethereum được phát triển trên EigenLayer cho phép tích hợp dữ liệu thực tế vào các ứng dụng phi tập trung. 

Kho bị tấn công triển khai tiêu chuẩn ERC-4626 cho các kho token hóa được giới thiệu lần đầu vào tháng 5 năm 2022, mặc dù các kho này sau đó đã trở nên phổ biến. Tuy nhiên, tiêu chuẩn kho "...không bao gồm các biện pháp bảo vệ chống lại tỷ giá hối đoái bị thao túng khi được sử dụng trong các giao thức cho vay," theo báo cáo sau sự cố. 

Nền tảng cho vay Euler Finance đã công bố một báo cáo nghiên cứu về các lỗ hổng với các kho ERC-4626 vào tháng 1 năm 2024, lập luận rằng hầu hết các kho không thực hiện rõ ràng các kiểm tra an toàn để ngăn chặn việc thao túng tỷ giá hối đoái. "Chúng tôi kỳ vọng rằng trong nhiều trường hợp, hai hoặc nhiều cơ chế giảm thiểu có thể cần được kết hợp để đạt hiệu quả lớn hơn," các tác giả viết. 

Chaos Labs thừa nhận trong báo cáo sau sự cố rằng các chiến lược an toàn có thể đã ngăn chặn cuộc tấn công. "Để giảm thiểu vectơ tấn công này, các hợp đồng wUSDM có thể đã sử dụng một oracle tỷ giá hối đoái chuỗi chéo, hoặc, sau khi tiết lộ đúng cách, Venus sẽ thực hiện các biện pháp an ninh để hạn chế sự tăng giá của tỷ giá hối đoái," Chaos Labs viết. "Để giảm thiểu thêm vectơ tấn công này, một thiết lập oracle có giới hạn tăng — như cơ chế CAPO của Aave — sẽ được triển khai cho tất cả các tài sản sinh lợi, ngăn chặn việc thao túng thông qua các đợt tăng lợi nhuận giả tạo."

"Nó áp dụng cho bất kỳ kho nào [dù sao đi nữa], không chỉ tiêu chuẩn hóa," tài khoản X của Curve Finance thêm vào để đáp lại một chuỗi thảo luận của Keselbrener về lỗ hổng.  "Chỉ là một sai lầm phổ biến của các nền tảng cho vay." 

Keselbrener cho biết tiêu chuẩn CAPO hiệu quả, nhưng yêu cầu "...sự phức tạp mã bổ sung và quản lý liên tục để đảm bảo chúng không hạn chế sự tăng trưởng lợi nhuận hợp pháp trong khi ngăn chặn việc thao túng." 

"Khi DeFi trở nên phức tạp hơn, chúng ta cần suy nghĩ vượt ra ngoài các nguồn cấp giá đơn giản để hiểu toàn bộ hồ sơ rủi ro của các tài sản mà chúng ta đang tích hợp," Keselbrener nói. "Nhu cầu về cơ sở hạ tầng oracle chuỗi chéo không phải là một nhược điểm mà là một lớp bảo mật bổ sung. Các nhà cung cấp oracle chuyên biệt cũng có thể thực hiện các biện pháp bảo vệ cụ thể được thiết kế để phát hiện và ngăn chặn các kịch bản thao túng chính xác này."