Terra 上に構築された DeFi が 9,000 万ドルのエクスプロイトに屈し、7 か月間気付かれない

古い Terra ブロックチェーン上に構築された DeFi アプリケーションであるミラー プロトコルは、2021 年 10 月に 9,000 万ドルのエクスプロイトによって攻撃され、先週までまったく発見されませんでした。攻撃者は、毎回わずかな料金を支払うだけで、プロトコルから担保を複数回ロック解除できました。

Terra の DeFi は 7 か月前に攻撃されました

高価な Terra DeFi エクスプロイトは、先週まで 7 か月間報告されませんでした。 Terra ブロックチェーン上に構築された Mirror Protocol により、ユーザーは合成資産を使用して、テクノロジー株のロングまたはショート ポジションを取ることができました。

しかし、プロトコルの動作メカニズムは 9,000 万ドルでハッキングされました。 Terra チェーンの DeFi 攻撃は、先週、Terra コミュニティのメンバーでありアナリストである「FatMan」によって最初に発見され、現在、セキュリティ アナリストの BlockSec によって確認されています。

コミュニティメンバー発見された 5 月 17 日に発生したミラー プロトコルのコードの脆弱性により、ハッカーは 2021 年 10 月 8 日から最大 9,000 万ドルを流出させることができます。

FatMan によると、言う 彼は「純粋なセレンディピティ」によってハッキングを発見し、攻撃者はプロトコルから 89,706,164.03 ドルを盗みました。エクスプロイトのおかげで、ロック コントラクトから担保を「わずかなコストとゼロ リスクで何度でも」ロック解除できるようになりました。

Terra Classic オンチェーン統計明らかに 攻撃者は、同じトランザクション内で、毎回わずか 17.54 ドルで、プロトコルから UST 資金を何度も解放できた.

正確なエクスプロイト トランザクションを調査することにより、セキュリティ会社 BlockSec確認済み コミュニティ メンバーの調査結果。

どのように起こったか

ミラーの株に賭けるには、ユーザーは担保を少なくとも 14 日間ロックする必要があります。元の Terra デジタル通貨である LUNA は、この担保 (現在の LUNA Classic または LUNC) に含まれていました。 mAssets と、現在は廃止されたステーブルコイン UST も関与していました。

取引が完了すると、ユーザーは担保のロックを解除し、お金を財布に戻すことができました。

さらに、スマート コントラクトによって生成された ID 番号の使用は、この手順を支援しました。しかし、Mirror Protocol のロック コントラクトは、バグの存在により、ユーザーが以前に同じ ID を使用して資金を引き出したかどうかを確認できませんでした。

関連資料 |タイはデジタル経済の準備を整え、2023 年末まで VAT から仮想通貨の転送を削除します

しかし、Mirror のロック コントラクトは、コードの不具合により、誰かが同じ ID を使用して何度も資金を引き出した場合にチェックできなかったようです。

2021 年 10 月に、身元不明のエンティティが、重複する ID のリストを使用して、所有している数百倍の担保を繰り返しロック解除できることを発見しました。これは本質的に、犯罪者が許可なく資金を引き出すことができることを意味していました。

新しい攻撃

発見からわずか数日後の 5 月 30 日、DeFi プロトコルが再び標的にされました。

によるとレポート、 最新のハッキングは、攻撃者が古い LUNC と新しい LUNA トークンの価格差を利用できるようにする、同社の価格オラクルの設定の欠陥によって引き起こされました。

Terra ノードは古いオラクル ソフトウェアを実行していたため、攻撃が行われました。攻撃を発見した Chainlink コミュニティ メンバーによると、ハッカーはプロトコルから 200 万ドル以上を盗みました。

Terra/USD はほぼゼロのクラッシュの後、統合されます。ソース：TradingView

短期間のハッキングが見過ごされたのは、これが初めてではありません。 2022年3月、ハッカーは6億ドルを盗んだ Ronin サイドチェーンから、誰もが気付くまでに 1 週間かかりました。ユーザーまではそうではありませんでした発見した 彼らはお金を引き出すことができず、問題があることに誰も気づいていませんでした。

ミラープロトコル、つまり調査中 証券取引委員会は、この状況に関する公式声明をまだ出していません。

ミラー プロトコル チームは、エクスプロイトに関する声明をまだ発表しておらず、コミュニティの怒りを引き起こしています。一方、FatMan は、ハッカーが内部関係者であったことを示す「説得力のある証拠」があると考えています。

これは史上初の DeFi エクスプロイトではありませんが、発見されるまでに最も時間がかかったものです。プレッシャーが高まる中、Terra は多くの精査を受けています。

関連資料 |それほど万里の長城ではない：中国がビットコインマイニングを禁止することに惨めに失敗した方法

Shutterstock の主な画像と TradingView.com のチャート