💬 Yearn.Finance (YFI) DeFi был уязвим для быстрой кредитной атаки; Являются ли средства SAFU? от 2022-02-12

Yearn.Finance (YFI) DeFi был уязвим для быстрой кредитной атаки; Являются ли средства SAFU?

Banteg (@bantg), основной разработчик экосистемы DeFi Yearn.Finance (YFI), делится подробностями гипотетической атаки на элементы своего протокола, раскрытой хакером в белой шляпе.

USDT со скидкой, максимальная награда злоумышленнику

Согласно твитам Бантега, 30 января 2022 года белый хакер сообщил о сценарии атаки на стратегию SingleSidedBalancer, элемент инструментария Yearn.Finance для выращивания урожая.

Yearn выплатил вознаграждение в размере 200 000 долларов белому хакеру, ответственно сообщившему об уязвимости через @immunefi. Ознакомьтесь с информацией об уязвимостяхhttps://t.co/5rTpkCg7IJ Узнайте о нашей программе вознаграждений за безопасностьhttps://t.co/F3VAdJzyeX — бантег (@bantg) 11 февраля 2022 г.

Стратегия SingleSidedBalancer (или SSB) предназначена для того, чтобы позволить энтузиастам DeFi фармить собственную валюту Balancer BAL, обеспечивая ликвидность одного актива. SSB активны в блокчейнах Ethereum (ETH) и Fantom (FTM).

Дизайн атаки был использован для того, чтобы позволить хакерам сбалансировать пул Balancer и получить USDT по завышенной цене, поскольку было обнаружено, что только стратегия SSB на yvUSDT может быть прибыльной.

Посредством серии экспресс-кредитов в USDC и DAI злоумышленник может истощить пул ликвидности Year.Finance на сумму более 41 миллиона долларов США в эквиваленте.

Еще один день, еще одна сногсшибательная награда?

Согласно подробному объяснению, опубликованному в репозитории безопасности Year.Finance на GitHub, уязвимость была устранена за 25 минут, поскольку все элементы, которые можно использовать, были отключены; сейчас никакие средства не находятся под угрозой.

К 11 февраля все уязвимые стратегии были обновлены Yearn.Finance и Balancer. Поскольку возможная уязвимость относится к категории «Критическая», 2 февраля взломщик был награжден премией в размере 200 000 долларов США.

Как сообщалось U.Today ранее, 10 февраля команда решения для масштабирования Optimism для Ethereum (ETH) заплатила 2 млн долларов США г-ну Джею Фриману, который раскрыл недостаток в смарт-контрактах Optimism, который позволил бы чеканить бесконечное количество эфира в каждом кошельке.

Аналогичное вознаграждение было передано потенциальному злоумышленнику Polygon (MATIC) в октябре 2021 года.