Nyt kryptohack på Ethereum og Optimisme

Et nyt kryptohack blev opdaget i dag: Denne gang blev DeFi Arcadia Finance-protokollen på Ethereum- og Optimism-kæderne angrebet med succes. 

PeckShieldAlert brød nyheden på Twitter og rapporterede, at hacket gav angriberne omkring $455,000. 

Hacket blev også senere bekræftet af operatørerne af Arcadia Finance selv. 

Efter et par timer rapporterede de, at de var i stand til at komme i kontakt med hackeren, og at de arbejdede sammen med deres sikkerhedspartnere, retshåndhævere og samfundet for at løse problemet så godt de kunne i et forsøg på at inddrive midler til protokol brugere.

Fejlen, der førte til kryptohacket

Ifølge PeckShield skyldtes hacket til Arcadia Finances smarte kontrakt, at upålidelig inputvalidering blev udnyttet til at dræne midler fra darcWETH og darcUSDC reserver.

darcWETH og darcUSDC er to indpakkede Arcadia Finance-tokens, så de hver især har reserver. 

Teoretisk set burde der for hvert darcWETH-token være et WETH-token i reserverne, og for hvert darcUSDC-token skulle der være et USDC-token. 

Åbenbart havde den smarte kontrakt, der administrerer reserverne af disse to indpakkede tokens, en fejl, som angriberne var i stand til at udnytte. 

Ydermere opdagede PeckShield en mangel på re-entry-beskyttelse i disse smarte kontrakter, hvilket på denne måde gjorde det muligt for den øjeblikkelige afregning at omgå reserveforvalterens interne statskontrol. 

For at være retfærdig afviste Arcadia senere denne rekonstruktion, men var ikke i stand til at give en alternativ forklaring. 

De fleste af midlerne blev stjålet fra Optimisms kæde, og de blev derefter flyttet takket være Tornado Cash for at miste overblikket over dem. 

Arcadia Finance-protokollen

Arcadia Finance er en DeFi-protokol om Ethereum og Optimisme, der ikke har sit eget native token. 

Før hacket var dens TVL omkring $600,000, mens den efter tyveriet styrtdykkede til $145,000. 

Dette er en ikke-depotprotokol, der giver mulighed for sammensætning af on-chain cross-margin konti. 

Brugere af disse marginkonti kan stille sikkerhed for hele tegnebøger, få adgang til op til 10 gange mere kapital end deres oprindelige sikkerhedsstillelse og bruge den deponerede sikkerhed og den lånte kapital til at interagere med enhver anden DeFi-protokol på en tilladelsesfri måde. 

Långivere tilfører likviditet til Arcadias lånepuljer og tjener passivt afkast.

Da hackerne ikke var frihedsberøvede, var de ikke i stand til at stjæle penge direkte fra brugernes tegnebøger, men snarere fra dem, der blev brugt som reserver til at udstede de indpakkede tokens darcWETH og darcUSDC. 

Der blev således ikke stjålet darcWETH eller darcUSDC direkte fra brugernes tegnebøger, men WETH og USDC blev stjålet fra de punge, som reserverne var afholdt på. Det betyder, at der ikke længere er 1 WETH for hver udstedt darcWETH og 1 USDC for hver udstedt darcUSDC, så brugere har faktisk stadig alle deres indpakkede tokens, men kan ikke længere indløse dem.

Problemet med indpakkede tokens

Det siges ofte, at ikke-depotpunge er sikre, hvis de opbevares og vedligeholdes korrekt, men nogle gange ligger risiciene opstrøms. 

For enhver pengepung, der ikke opbevares, er der faktisk lille forskel på at opbevare originale tokens, såsom USDC, eller indpakkede tokens, såsom darcUSDC. 

Indpakkede tokens har dog et ekstra lag af risiko. Faktisk varetages sikkerhedsstillelsen ikke af brugerne selv på deres ikke-depotpunge, men af ​​forvalterne af de indpakkede tokens. 

Faktisk er dette ikke meget forskelligt fra en depotpung, da opbevaring af sikkerhedsstillelsen på nogle måder svarer til opbevaring af de indpakkede tokens. 

Derfor, selvom tegnebøgerne for brugere, der har indpakkede tokens, ikke er brudt, i tilfælde af et brud på reservepungen, kan brugerne stadig miste deres penge, simpelthen fordi, mens de stadig har de indpakkede tokens, kan de ikke længere indløse dem. Deres faktiske værdi går på denne måde effektivt til nul. 

Dette gælder faktisk også for USDC, fordi selvom det ikke er et indpakket token, er det en stabiliseret mønt med sikkerhed, hvilket betyder, at den har reserver som sikkerhed, som holdes og administreres af en enkelt enhed (Circle). 

Indvirkningen på kryptomarkederne af hacket, der fandt sted

Indvirkningen på kryptomarkederne af dette hack har været næsten nul, hvis vi ekskluderer de indpakkede tokens darcWETH og darcUSDC. 

OP, som er Optimisms oprindelige token, har heller ikke lidt alvorlige tab, så meget, at prisen i dag bevægede sig på linje med priserne på mange andre lignende tokens. 

Så igen er $455,000 ikke så meget, og nu har kryptomarkederne udviklet en vane med denne form for tyveri på DeFi-protokoller. 

Desuden handler DeFi ikke om Bitcoin, og lige nu er det Bitcoin, der dikterer trenden på kryptomarkederne. 

Situationer som denne tjener kun til at give en bedre forståelse af de involverede risici ved brug af DeFi-protokoller, især når de er skjulte som i tilfælde af indpakkede tokens. 

Noget meget værre var sket i marts, da det blev opdaget, at Circle havde en betydelig del af USDC-reserverne på den fejlslagne Silvergate-bank, så meget, at man et øjeblik frygtede, at stablecoinen kunne miste sin binding til dollaren. 

Men så greb den amerikanske centralbank direkte ind for at dække alle underskud og gav derved alle Silvergate-indskydere alle deres midler tilbage.