$260𝐦 𝐠𝐨𝐧𝐞 𝐨𝐯𝐞𝐫𝐧𝐢𝐠𝐡𝐭

@DriftProtocol , один из самых быстрорастущих децентрализованных перпетуальных DEX на Solana, столкнулся с моментом, который показал, насколько хрупким может быть DeFi под давлением.
Давайте разберёмся. 🧵
-----------------------
𝐓𝐡𝐞 𝐄𝐚𝐫𝐥𝐲 𝐒𝐢𝐠𝐧𝐚𝐥𝐬
Onchain безопасность заметила что-то неладное.
Кратко:
→ Основная проблема: дисбаланс системы бессрочных фьючерсов + залоговая система
→ Вектор атаки: манипуляции ценой/оракулом при низкой ликвидности
→ Результат: возможность возникновения плохого долга и неплатежеспособности протокола
-----------------------
𝐓𝐡𝐞 𝐒𝐭𝐫𝐚𝐭𝐞𝐠𝐲 𝐁𝐞𝐡𝐢𝐧𝐝 𝐈𝐭
Это не было «хакерской» атакой в традиционном смысле.
Это была попытка экономической эксплуатации.
Вот план действий:
> Открывать крупные позиции с кредитным плечом
> Толкать цену в тонком рынке
> Раздувать стоимость залога
> Брать заем под него
> Покинуть позицию до исправления системы
Это было выполнено идеально, протокол остался с убытками.
-----------------------
𝐓𝐡𝐞 𝐇𝐢𝐝𝐝𝐞𝐧 𝐖𝐞𝐚𝐤 𝐏𝐨𝐢𝐧𝐭
В центре всего были Оракулы и глубина ликвидности.
Drift полагается на ценовые котировки и рыночную активность для поддержания баланса.
Но когда ликвидность тонкая:
Цены можно подтолкнуть, залог искажен, а ликвидации задержаны.
Именно в этом месте работают злоумышленники.
Несколько секунд неправильной оценки цены — и всё готово.
-----------------------
𝐒𝐨𝐦𝐞 𝐨𝐟 𝐭𝐡𝐞 𝐀𝐬𝐬𝐞𝐭𝐬 𝐒𝐭𝐨𝐥𝐞𝐧
> USDC: $60.4М
> USDT: $5.65М
> USDS: $5.3М
> JPL: $155.6М
> WETH: $4.7М
> DSOL: $4.5М
> CBBTC: $11.3М
> Другие средства: $17.37М
Примерно $260 миллионов украденных средств.
-----------------------
𝐖𝐡𝐚𝐭 𝐈𝐭 𝐌𝐞𝐚𝐧𝐬 𝐟𝐨𝐫 𝐃𝐞𝐅𝐢
Это часть, которую большинство людей упускает:
DeFi — это не только уязвимость для хакеров.
Это уязвимость для трейдеров, которые понимают систему лучше, чем она сама.
По мере развития протоколов увеличивается сложность, множатся крайние случаи, а юридические уязвимости становятся более прибыльными.
Следующий крупный сбой может вовсе не выглядеть как хак.
-----------------------
𝐇𝐨𝐰 𝐭𝐨 𝐒𝐭𝐚𝐲 𝐒𝐚𝐟𝐞
➢ Не думайте, что «отсутствие хаков» означает «отсутствие риска».
➢ Следите за ликвидностью, а не только за TVL.
➢ Будьте осторожны с платформами с высоким кредитным плечом.
➢ Понимайте механику, а не только APY.