Kuinka flash-lainoja käytetään salausmarkkinoiden manipulointiin

Tuoreen raportin mukaan pikalainahyökkäykset ovat kasvussa. Mitä ne ovat ja mitkä ovat riskit?

Kuvittele, että voisit ottaa lähes rajattoman kokoisen lainan ilman vakuuksia. On vain yksi saalis. Sinun on maksettava se takaisin melkein välittömästi. Kuulostaako oudolta? Luultavasti tekee. Mutta se on juuri sitä, mitä pikalaina on. Kuten nimestä voi päätellä, nämä lainat tapahtuvat lähes välittömästi. (Ajattele DC Comic -supersankaria The Flashia, joka voi matkustaa valon nopeudella.)

De.Fi:n tuore raportti viittaa siihen, että pikalainat ovat nousussa ja huonot toimijat käyttävät niitä yhä useammissa hyväksikäytöissä. Tämän vuoden ensimmäisellä neljänneksellä menetettiin 1 miljoonaa dollaria tällaisen hyväksikäytön vuoksi. 

Mutta miksi joku haluaisi ottaa lähes välittömän lainan? No, kuten monet asiat kryptoalalla, se johtuu hyvistä tuotoista.

Pikalainat ja pikalainahyökkäykset selitettyinä

Pikalainojen logiikka perustuu arbitraasiin, pienten hintaerojen hyödyntämiseen. Toisin kuin muut lainat, pikalainat eivät vaadi pitkää hyväksymisprosessia, joten ne voidaan toteuttaa nopeasti. "Yksi transaktiolainan alhaiset maksut huomioon ottaen on valtava potentiaali korkeaan tuottoon", selitti Artem Bondarenko, De.Fi:n ohjelmistoarkkitehti BeInCrypton haastattelussa. ”Palainalainan velkojille ei ole riskejä, sillä laina palautetaan heti takaisin. Muuten kauppa epäonnistuu."

Perinteisessä rahoituksessa mikään ei ole samanlaista kuin pikalaina. Se on samanlainen kuin osto-optio, mutta sillä on joitain merkittäviä eroja. Pikalainalla saat lainatun rahan heti käyttöön, osto-optiolla joudut odottamaan. Myös perinteisessä rahoituksessa liiketoimet tapahtuvat yleensä yksi kerrallaan, kun taas pikalainoissa ne tapahtuvat lohkoissa. Nämä lyhytaikaiset instrumentit eivät kuitenkaan ole täysin vailla huonoja puolia, kuten De.Fi:n raportissa hahmotellaan.

"Flash-lainahyökkäys tapahtuu, kun joku pystyy lainaamaan valtavan summan yhdestä paikasta ja käyttämään sitä manipuloimaan hintoja ostamalla tai myymällä suuria määriä ja siten vaikuttamaan omaisuuden hintaan", Bondarenko sanoi. "Sitten käytetään tätä hinnanmuutosta hyödyntämään päinvastaista ostoa tai myyntiä toisella puolella, luomaan arbitraasi hintojen välille näissä kahdessa paikassa, sitten maksamaan alkuperäinen laina takaisin ja pussistamaan ero."

"Jos likviditeettiprotokolla on suunniteltu oikein oikeilla hinnoitteluoraakkeleilla, tämän ei pitäisi olla ongelma, mutta tapauksissa, joissa suunnittelu on huono, se on haavoittuvuus, jota voidaan hyödyntää ja johtaa joukkolikvidaatiotapahtumaan", Bondarenko lisäsi.

Keitä ovat uhrit?

Flash-lainat houkuttelevat hyökkääjiä, koska ne mahdollistavat suurten kryptovaluuttasummien lainaamisen ilman vakuuksia. Tällaisten hyökkäysten estämiseksi voidaan toteuttaa parempia turvatoimia, kuten kooditarkastuksia ja vankkaa älykästä sopimussuunnittelua, ja tietoisuutta mahdollisista hyökkäysvektoreista voidaan lisätä DeFi-ekosysteemissä.

Maaliskuun 13. päivänä Euler Finance, tunnettu Ethereum-pohjainen lainausprotokolla, hakkeroitiin, ja hyökkääjä varasti miljoonien dollarien arvosta erilaisia ​​kryptovaluuttoja, kuten Dai, USDC, Staked Ethereum ja Wrapped Bitcoin, suorittamalla useita transaktioita. 

Varastettu kokonaismäärä oli lähes 196 miljoonaa dollaria, josta 8.7 miljoonaa dollaria Dai, 18.5 miljoonaa dollaria WBTC, 135.8 miljoonaa dollaria StETH ja 33.8 miljoonaa dollaria USDC. 

Hyökkääjä siirsi varastetut varat Binance Smart Chainista Ethereumiin moniketjusillan avulla ja suoritti sitten pikalainahyökkäyksen. He tallettivat varastetut varat Tornado Cashiin, tunnettuun kryptosekoittajaan, mutkistaakseen palautustoimia ja salatakseen henkilöllisyytensä.

Kuukautta aiemmin, helmikuun 16. päivänä, automatisoitu markkinatakaaja Platypus Finance joutui erilliselle pikalainahyökkäykselle. Hyökkääjä varasti 8,500,887 XNUMX XNUMX dollarin arvosta vakaita kolikoita, mukaan lukien USDC, USDT, BUSD ja DAI. 

Tässä tapauksessa hyökkääjä käytti hyväkseen USP:n vakavaraisuustarkistusmekanismin haavoittuvuutta. Tässä prosessissa hyökkääjä vakuutti 44,000,000 44,000,000 41,700,000 USDC:n pikalainan ja vaihtoi sen sitten XNUMX XNUMX XNUMX Platypus LP-USD:ksi. Sitten he lyöivät XNUMX XNUMX XNUMX USP-rahaketta ilman kuluja, jotka vaihdettiin erilaisiin stabiileihin kolikoihin. 

Platypus Finance on tehnyt yhteistyötä kolmannen osapuolen palveluiden kanssa varastetun omaisuuden jäädyttämiseksi, ja osa on jo jäädytetty. Haitallinen sopimus poistettiin ja lisäturvatoimenpiteitä otettiin käyttöön tulevien hyökkäysten estämiseksi. Hyökkääjä onnistui kuitenkin siirtämään osan varastetuista varoista.

Kuinka vähentää riskejä?

Yhdellä tavalla Flash-lainat ovat yksi suurimmista krypton taajuuskorjauksista. Niiden avulla kauppiaat, joilla on vähemmän pääomaa, voivat käydä korkean tuoton kauppoja, jotka ovat yleensä avoimia vain niin kutsutuille valaille. "Mutta kuten olemme nähneet lukuisia kertoja, flash-lainat muodostavat myös suuren riskin DeFi-protokolloille, jotka eivät ota huomioon tällaisia ​​asioita", Adrian Hetman, Immunefin triaging-tiimin tekninen johtaja, kertoi BeInCryptolle.

”Protokollien ei pitäisi suojautua vain mahdollisilta flash-lainahyökkäyksiltä, ​​vaan myös valaiden hyökkäyksiltä, ​​eli mitä tapahtuisi, jos suuret pelaajat yhtäkkiä käyttäisivät massiivisia varojaan käyttääkseen protokollamme? Toimiiko järjestelmä niin kuin on tarkoitettu? Mikä on "tarkoitettu" liiketoimintamme?" Hetman jatkoi. "Uhkien mallintaminen auttaisi paljastamaan järjestelmän mahdolliset heikkoudet."

"Käyttäen Time-Weighted Average Price (TWAP) -ominaisuutta, oraakkelit voivat auttaa minimoimaan hintamanipulaatiota laskemalla keskihinnat tietyn ajanjakson aikana, mikä vaikeuttaa hyökkääjien manipuloida hintoja yhdessä tapahtumassa. Lisäksi usean oraakkelin järjestelmien käyttöönotto voi tarjota redundanssia ja hintatietojen ristiintarkistusta, mikä vahvistaa entisestään suojaa manipulaatiota vastaan", Hetman lisäsi.

Ottamalla käyttöön katkaisijat voidaan estää pikalainahyökkääjiä hyötymästä manipuloiduista hinnoista, kun huomattavia hintavaihteluita havaitaan, Hetman selitti. ”Kun hinnanvaihtelun syy on tunnistettu ja korjattu, kauppa voi jatkua. Tämän on sisällettävä mahdolliset kelvolliset kaupat, jotka voivat vaikuttaa epäilyttävältä vain ulkopuolelta."

”On myös tärkeää, ettei suuria protokollatoimintoja sallita tapahtua vain yhden lohkon yli. Flash-lainat voidaan useimmiten ottaa vain yhdellä tapahtumalla yhdelle lohkolle, Hetman lisäsi.