Nhân viên bảo mật của công ty bảo mật blockchain PeckShield cho biết: “Vụ tấn công đã khiến Warp Finance mất khoảng 7,8 triệu đô la, nhưng phương pháp của kẻ tấn công không hoàn hảo và hơn 94.000 mã thông báo LP vẫn bị khóa trong kho tiền thế chấp.

Thông qua theo dõi và phân tích, PeckShield phát hiện ra rằng kẻ tấn công đã cho vay 4 khoản vay flash từ dYdX và Uniswap V2, với tổng trị giá 2,9 triệu DAI và 344.800 WETH.

Sau đó, kẻ tấn công đã thế chấp 2,9 triệu DAI và 4519 WETH trong Uniswap V2 để cung cấp tính thanh khoản, đúc 94.349 mã thông báo LP và chuyển đổi mã thông báo đúc thành WarpVaultLP làm chứng chỉ cam kết của kẻ tấn công. Điều đáng chú ý là giá của mã thông báo LP là 58,8 USDC tại thời điểm này;

Tiếp theo, kẻ tấn công đã chuyển đổi 341.000 WETH thành 47,6 triệu DAI trong Uniswap V2, từ đó nâng giá DAI lên gấp đôi giá của mã thông báo LP lên 135,5 USDC;

Bằng cách tăng giá của mã thông báo LP và đặt lại giá của chứng chỉ tiên tri nguồn cấp dữ liệu giá, kẻ tấn công có thể cho vay thêm 3,86 triệu DAI và 3,9 triệu USDC (tổng cộng khoảng 7,8 triệu đô la Mỹ) trong Warp Finance;

tiêu đề phụ

Tấn công flash loan diễn ra thường xuyên, tại sao tin tặc có thể thành công?

Người phụ trách có liên quan của PeckShield giải thích: "Khoản vay nhanh trên blockchain là phương thức cho vay có thể được vay mà không cần thế chấp, nhưng người cho vay phải hoàn trả khoản vay trong cùng một khối, nếu không giao dịch sẽ thất bại. Do đó, các khoản vay nhanh là về cơ bản là không có chi phí và không có rủi ro đối với các nền tảng cho vay. Tin tặc có thể sử dụng phương thức cho vay này để cho vay một lượng tiền lớn với chi phí nhỏ, sau đó sử dụng số tiền này để gây ra biến động giá đối với một số tài sản kỹ thuật số và thu lợi nhuận từ nó.”

Do thường xuyên xảy ra các cuộc tấn công cho vay chớp nhoáng, chức năng này đã bị chỉ trích và bị coi là cỗ máy kiếm tiền của tin tặc, nhưng cũng có ý kiến ​​cho rằng nó làm lộ ra các sơ hở của giao thức trước đó, điều này có lợi cho việc cải thiện tính bảo mật của giao thức.

Người có liên quan phụ trách PeckShield đề xuất: “Theo đặc điểm của khoản vay chớp nhoáng, khoản vay và rút tiền phải được hoàn thành trong một khối, vì vậy đối với các nhà phát triển giao thức DeFi, một thiết kế an toàn hơn không được phép ở trong cùng một khối. rút tiền, vì vậy tin tặc cố gắng lợi dụng các khoản vay chớp nhoáng không phải làm gì.”

Là một mô hình cho vay mới nổi, các khoản vay chớp nhoáng cực kỳ hấp dẫn về mặt đổi mới, nhưng nó không phải là một lưỡi liềm đối với tin tặc. Các nhà phát triển giao thức DeFi nên kiểm tra mã của họ sau khi cuộc tấn công xảy ra. PeckShield nhắc nhở rằng nếu bạn không biết về điều này, bạn nên tìm một cơ quan kiểm toán chuyên nghiệp để kiểm toán và nghiên cứu để ngăn chặn các vấn đề trước khi chúng xảy ra.