Im Oktober 2022 verlor Mango Markets aufgrund von Orakelpreismanipulationen 116 Millionen Dollar.
Im Mai 2022 verlor Venus 11,2 Mio. USD aufgrund der Verzögerung der Orakelpreisaktualisierung.
Im vergangenen Juli verlor Rho Markets 7,6 Mio. USD, nachdem eine Vertragsaktualisierung zu fehlerhaften Orakelpreisen geführt hatte.
Die Wahrheit ist, dass diese Verluste vollständig hätten vermieden werden können. Aber wie? Lesen Sie weiter.
Orakel: Die Lebensader von DeFi-Protokollen
Orakel, die Daten in Blockchains einspeisen, sind die Grundlage für DeFi-Anwendungsfälle wie Kreditvergabe und Derivate. Dennoch haben viele große Projekte - darunter Compound, Cream Finance, Mango Markets, Venus und Rho Markets - aufgrund von Orakel-Angriffen erhebliche Verluste erlitten.
Stellen Sie sich vor, Sie zahlen eine ETH auf einer Kreditplattform ein, in der Erwartung, sich einen Vermögenswert zu leihen, und stellen dann fest, dass Ihre Sicherheit über 63 Tausend Dollar wert ist! Sie könnten denken, Sie hätten den Jackpot geknackt. Für Protokollteams ist dies jedoch ein Albtraumszenario. Das ist letztes Jahr auf Rho Markets tatsächlich passiert.
Preisanomalien: Der übersehene tödliche Schwachpunkt
Am 19. Juli 2024 aktualisierte Rho Markets seine Smart Contracts, um einen neuen Asset-Markt zu starten. Eine Fehlkonfiguration im Deployment-Skript führte dazu, dass die BTC- und ETH-Preise des Orakels vertauscht wurden. Infolgedessen wurde der ETH-Preis fälschlicherweise um das 20-fache erhöht, was es den Nutzern ermöglichte, zu minimalen Kosten riesige Beträge zu leihen - und letztlich zu Verlusten in Höhe von 7,6 Millionen US-Dollar führte.
Wichtige Zeitleiste (UTC):
- 1️⃣ 08:58:29 (Block 7580110) - Oracle gibt den normalen ETH-Preis zurück.
-
2️⃣ 08:58:32 (Block 7580111) - Oracle-Vertrag wird aktualisiert. Transaktions-Hash: https://app.blocksec.com/explorer/tx/scroll/0x9d2388a0c449c6265b968d86f0f54e75a5b82e2b04176e35eefdff5f135547ec
-
3️⃣ 08:58:34 (Block 7580112) - Einen Block später steigt der vom Orakel zurückgegebene ETH-Preis von $3.384 auf $63.653 (BTC-Preis auf ETH angewendet), das 17-fache des tatsächlichen Wertes!
-
4️⃣ 08:59:49 - Nur eine Minute später wird der erste Angriff gestartet: Ein MEV-Bot verwendet 84 ETH als Sicherheit, um 942 wstETH zu leihen. Indem er diesen Vorgang wiederholt, erbeutet der Bot 7,6 Millionen Dollar. Transaktionshash des ersten Angriffs: https://app.blocksec.com/explorer/tx/scroll/0x0a7b4c6542eb8f37de788c8848324c0ae002919148a4426903b0fb4149f88f05
-
5️⃣ 10:33:01 - Das Protokoll wird endlich angehalten, aber es ist bereits zu spät.
Wenn Rho Markets die Oracle-Monitore von Phalcon eingesetzt hätte, was wäre dann anders gelaufen?
👉 👉 Phalcon hätte den abnormalen Preis sofort erkannt und eine automatische Notfallreaktion ausgelöst - und damit jede Gelegenheit für einen Angriff zunichte gemacht.
Phalcon unterstützt die **Überwachung von Preisanomalien bei Oracle**:
-
Preisabweichung: Überwacht das Ausmaß von Orakelpreisänderungen und zeigt abrupte Spitzen oder Rückgänge an. (z. B. Alarm, wenn sich der Preis zwischen zwei Stichproben um mehr als 200 % ändert)
-
Preisbereich: Legt akzeptable Preisgrenzen fest. (z. B. Warnung, wenn sich der Preis außerhalb der Spanne von $2.380 bis $4.380 bewegt)
-
Preisabweichung: Vergleicht den Preis des Basisorakels mit einem Referenzorakel. (z. B. Warnung, wenn die Preise um mehr als 30 % abweichen)
Normalerweise prüft das Projektteam kritische Konfigurationen vor Vertragsupgrades oder Parameteränderungen gründlich. In diesem Fall führte jedoch ein manuelles Versehen dazu, dass die Orakelpreise nicht überprüft wurden. Obwohl die verlorenen Vermögenswerte in diesem Fall vom MEV-Bot zurückgegeben wurden, ist ein solches "Glück" bei den meisten Angriffen selten.
In Wirklichkeit hätte die Einrichtung einer der oben genannten Überwachungen das System in die Lage versetzt, anormale Orakelwerte sofort zu erkennen und das Team über einen der sieben unterstützten Benachrichtigungskanäle zu alarmieren. Noch wichtiger ist, dass manuelle Eingriffe oft zu langsam sind - die Zeit zwischen einer Anomalie und einem Exploit kann extrem kurz sein (in diesem Fall nur eine Minute). Mit Phalcon wird die Notfallverteidigung automatisch ausgelöst, so dass Angriffe einfach keine Chance haben.
Nicht nur Preisanomalien - Verzögerungen und Ausfälle können tödlich sein
Im Mai 2022, als der Preis von $LUNA weiter fiel, wurde der eingebaute Schutzschalter von Chainlink ausgelöst, was dazu führte, dass die Preisaktualisierung für $LUNA bei 0,107 $ pausierte. Das Venus-Protokoll bemerkte dies nicht rechtzeitig und arbeitete mit dem veralteten Preis weiter. Vier Stunden später - als das Team reagierte - war der aktuelle Preis auf 0,01 $ gefallen. Während dieses Zeitraums nutzten mehrere Adressen $LUNA als Sicherheit, um sich große Mengen an Vermögenswerten zu leihen, was dem Protokoll einen Verlust von etwa $11,2 Millionen einbrachte.
Wenn Venus die Oracle-Monitore von Phalcon eingesetzt hätte, wie wären die Dinge anders gelaufen?
👉 👉 Phalcon unterstützt die Überwachung auf Verzögerungen bei der Preisaktualisierung und Oracle Health Checks, um eine rechtzeitige und zuverlässige Preisübermittlung sicherzustellen. Wenn irgendwelche Anomalien aufgetreten wären, wäre das Team sofort alarmiert worden.
Viele Projekte verlassen sich auf ein einziges Orakel als Preisquelle und haben keine Mechanismen zum Schutz vor Preisanomalien. Wenn etwas schief geht, profitieren die Angreifer, die Nutzer werden liquidiert, und der Ruf des Projekts leidet.
Phalcon kann sowohl eigene als auch Drittanbieter-Orakel (wie z. B. Chainlink und Pyth) überwachen und so die Preisstabilität und -genauigkeit in Echtzeit sicherstellen und Risiken der Liquidierung und Preismanipulation verhindern.
BlockSec Phalcon: Ihre All-in-One-Sicherheits- und Compliance-Management-Plattform
Phalcon kombiniert nahtlos Security Threat Prevention (Security APP) und Compliance Risk Management (Compliance APP) und bietet Anwendern eine integrierte Lösung für Sicherheit und Compliance.
Sicherheits-APP: https://blocksec.com/phalcon/security
Bietet umfassenden Schutz nach dem Start, einschließlich:
- Angriffsüberwachung in Echtzeit
- Überwachung von Betriebs-, Interaktions-, Finanz- und benutzerdefinierten Risiken
- Dynamischer Schutz von Safe{Wallet} (https://blocksec.com/safe-wallet-monitor)
- Flexible Überwachung von Token-Preisen, Beträgen, Schlüsselvariablen, sensiblen Ereignissen und Funktionsaufrufen
- Automatisierte Notfallreaktion (unterstützt EOA und Multi-Sig-Wallets)
Compliance APP: https://blocksec.com/phalcon/compliance
Überprüft Adressen und überwacht Transaktionen in Echtzeit und hilft VASPs, Risiken und verdächtige Benutzeraktivitäten zu erkennen, um die AML/CFT-Anforderungen zu erfüllen.
🔥 Jetzt ausprobieren
BlockSec Phalcon unterstützt jetzt über 20 wichtige Blockchains, darunter Ethereum, BSC, Solana, Base, Tron, Arbitrum, Avalanche, Optimism, Manta, Merlin, Mantle, Sei, Bitlayer, Core, BoB, Story, Sonic, Gnosis und Berachain.
Buchen Sie jetzt eine Produktdemo! Klicken Sie hier oder besuchen Sie den unten stehenden Link. Legen Sie in nur 10 Sekunden los - die ersten 30 Anmeldungen erhalten eine kostenlose Testversion!
🔗 Buchen Sie eine Demo: https://blocksec.com/book-demo
