Атака с помощью флэш-кредита
Атаки с помощью флеш-кредита совершаются злоумышленниками, эксплуатирующими уязвимости в смарт-контрактах.
Что такое атака c помощью флэш-кредита?
Атаки c помощью флэш-кредитов — это эксплойты в
децентрализованных финансах (DeFi), когда
смарт-контракт, назначенный для поддержки предоставления флэш-кредитов, подвергается атаке с целью выкачивания активов, хранящихся в каком-либо конкретном пуле. В таких атаках злоумышленник открывает кредит, использует этот заемный капитал для покупки других активов с арбитражом и быстро выплачивает кредит обратно, забирая себе в качестве прибыли оставшиеся после всего процесса активы.
Важно понимать, что такое воздействие может произойти только внутри протоколов DeFi, поскольку они
общедоступны и полностью управляются смарт-контрактами. Хотя дезинтермедиация обеспечивает множество преимуществ, таких как экономия затрат и устойчивость к цензуре, отсутствие третьей стороны, контролирующей предоставление беззалоговых кредитов, предоставляемых по договорам флэш-кредитования, делает платформы DeFi восприимчивыми к подобным атакам.
Этот вид вредоносной деятельности на самом деле сложен и трудновыполним, но, тем не менее, каким-то образом существует множество случаев, когда у киберпреступников это получалось.
Большинство атак с помощью флэш-кредитов предполагают использование заемного капитала для арбитража активов из других протоколов DeFi. Например, в одной из атак на протокол
bZx, хакер взял кредит по контракту и сразу же конвертировал его в стейблкоины. Но поскольку смарт-контракты функционируют только на основе переданных им данных, они могут быть уязвимы для некоторых эксплойтов. Злоумышленник воспользовался этим, манипулируя ценой стейблкоина sUSD, разместив на ней крупный ордер на покупку, что помогло загнать цену стейблкоина в два раза выше, чем она должна была быть. После этого он взял более крупный кредит, используя обмененные sUSD в качестве залога. Затем он погасил все эти кредиты и забрал оставшиеся активы себе в качестве прибыли.
Другая известная атака с флэш-кредитом произошла ранее на той же платформе. Злоумышленник взял флэш-кредит на dYdx, кредитном DApp, и отправил капитал от этого флэш-кредита на Compound и Fulcrum: на Fulcrum злоумышленник зашортил ETH против Wrapped Bitcoin (WBTC), одновременно взяв кредит на WBTC в Compound. Если не вдаваться в подробности, то когда цена WTBC подскочила из-за того, что Fulcrum приобрел WBTC, наш герой продал свои WBTC на Uniswap, погасил флэш-кредит, а оставшиеся ETH оставил при себе.
В мае 2021 года популярный агрегатор доходных ферм на базе BNB Chain, PancakeBunny, тоже пережил атаку с помощью флеш-кредита. Взломщик занял большое количество BNB на PancakeBunny, тем самым манипулируя его ценой по отношению как к стейблкоину Binance USD, так и к токенам
Bunny — когда хакер выбросил свои Bunny на рынок, цена резко упала.