В октябре 2022 года Mango Markets потеряла 116 миллионов долларов из-за манипуляции с ценой оракула.
В мае 2022 года Venus потеряла 11,2 миллиона долларов из-за задержки обновления цены оракула.
В июле прошлого года Rho Markets потеряла 7,6 миллиона долларов после того, как обновление контракта привело к ошибочному ценообразованию оракула.
Правда в том, что этих потерь можно было полностью избежать. Как? Читайте далее.
Оракулы: жизненная линия DeFi-протоколов
Оракулы, которые передают данные в блокчейны, являются основой для DeFi-сценариев использования, таких как кредитование и деривативы. Тем не менее, многие крупные проекты — включая Compound, Cream Finance, Mango Markets, Venus и Rho Markets — понесли значительные убытки из-за атак, связанных с оракулами.
Представьте, что вы вносите ETH на кредитную платформу, ожидая занять какой-либо актив, и вдруг обнаруживаете, что ваш залог оценен более чем в 63 тысячи долларов! Вы можете подумать, что вам выпал джекпот. Однако для команд протоколов это настоящий кошмар. Именно это произошло в прошлом году на Rho Markets.
Ценовые аномалии: недооценённый фатальный недостаток
19 июля 2024 года Rho Markets обновила свои смарт-контракты для запуска нового рынка активов. Однако ошибка в конфигурации скрипта развертывания привела к тому, что цены BTC и ETH от оракула были перепутаны местами. В результате цена ETH была ошибочно увеличена в 20 раз, что позволило пользователям занимать огромные суммы при минимальных затратах — и в конечном итоге привело к убыткам в размере 7,6 миллиона долларов.
Ключевая хронология (UTC):
- 1️⃣ 08:58:29 (Блок 7580110) — Оракул вернул нормальную цену ETH.
-
2️⃣ 08:58:32 (Блок 7580111) — Контракт оракула был обновлён. Хеш транзакции: https://app.blocksec.com/explorer/tx/scroll/0x9d2388a0c449c6265b968d86f0f54e75a5b82e2b04176e35eefdff5f135547ec
-
3️⃣ 08:58:34 (Блок 7580112) — Всего один блок позже цена ETH, возвращаемая оракулом, взлетела с 3 384 до 63 653 долларов (цена BTC была ошибочно применена к ETH), в 17 раз выше реальной стоимости!
-
4️⃣ 08:59:49 — Всего минуту позже была запущена первая атака: MEV-бот использовал 84 ETH в качестве залога, чтобы занять 942 wstETH. Повторив этот процесс, бот вывел 7,6 миллиона долларов. Хеш транзакции первой атаки: https://app.blocksec.com/explorer/tx/scroll/0x0a7b4c6542eb8f37de788c8848324c0ae002919148a4426903b0fb4149f88f05
-
5️⃣ 10:33:01 — Уязвимые компоненты протокола были отключены, но было уже слишком поздно.
Если бы Rho Markets развернула Oracle Monitors от Phalcon, как бы всё обернулось иначе?
👉 👉 Phalcon мгновенно обнаружил бы аномальную цену и запустил автоматизированный экстренный ответ — полностью закрыв любую возможность для атаки.
Phalcon поддерживает мониторинг ценовых аномалий оракулов:
-
Отклонение цены: Отслеживает величину изменения цены оракула и фиксирует резкие скачки или падения. (например, оповещение, если цена изменяется более чем на 200% между двумя замерами)
-
Диапазон цены: Устанавливает допустимые границы цены. (например, оповещение, если цена выходит за пределы диапазона 2 380–4 380 долларов)
-
Несоответствие цены: Сравнивает цену базового оракула с эталонным оракулом. (например, оповещение, если цены отличаются более чем на 30%)
Как правило, команда проекта тщательно проверяет критические конфигурации перед обновлением контрактов или изменением параметров. Однако в этом инциденте человеческая ошибка привела к упущению проверки цен оракула. Хотя в этом случае утраченные активы были возвращены MEV-ботом, такая «удача» редка в большинстве атак.
На самом деле, настройка любого из вышеупомянутых мониторов позволила бы системе мгновенно обнаружить аномальные значения оракула и оповестить команду через любой из семи поддерживаемых каналов уведомлений. Что важнее, ручное вмешательство часто слишком медленное — время между аномалией и эксплойтом может быть чрезвычайно коротким (в данном случае всего одна минута). С Phalcon экстренная защита срабатывает автоматически, поэтому у атак просто не остаётся шанса произойти.
Задержки и сбои также могут быть фатальными
В мае 2022 года, когда цена $LUNA продолжала стремительно падать, встроенный автоматический выключатель Chainlink сработал, приостановив обновления цены $LUNA на уровне 0,107 доллара. Протокол Venus не заметил этого своевременно и продолжал работать с устаревшей ценой. Четыре часа позже — к моменту, когда команда отреагировала — реальная цена упала до 0,01 доллара. В течение этого периода несколько адресов использовали $LUNA в качестве залога для заимствования крупных сумм активов, что привело к убыткам протокола на сумму около 11,2 миллиона долларов.
Если бы Venus развернула Oracle Monitors от Phalcon, как бы всё обернулось иначе?
👉 👉 Phalcon поддерживает мониторинг задержек обновления цены и проверок работоспособности оракула — обеспечивая своевременность и надёжность поступающих цен. Если бы возникли какие-либо аномалии, команда была бы немедленно уведомлена.
Многие проекты полагаются на единственный оракул как источник цены и не имеют механизмов защиты от ценовых аномалий. Когда что-то идёт не так, атакующие получают выгоду, пользователи подвергаются ликвидации, а репутация проекта страдает.
Phalcon может отслеживать как собственные, так и сторонние оракулы (такие как Chainlink и Pyth), обеспечивая в реальном времени гарантию стабильности и точности цен, предотвращая риски ликвидации и манипуляции ценами.
Что такое BlockSec Phalcon?
Phalcon бесшовно объединяет предотвращение угроз безопасности (Security APP) и управление рисками соответствия (Compliance APP), предлагая пользователям комплексное решение как для безопасности, так и для соответствия требованиям.
Security APP
🔗 https://blocksec.com/phalcon/security
Обеспечивает комплексную защиту после запуска, включая:
- Мониторинг атак в реальном времени
- Мониторинг операционных, взаимодействующих, финансовых и пользовательских рисков
- Динамическая защита Safe{Wallet}
- Гибкий мониторинг цен токенов, объёмов, ключевых переменных, чувствительных событий и вызовов функций
- Автоматизированный экстренный ответ (поддержка EOA и мультиподписных кошельков)
Compliance APP
🔗 https://blocksec.com/phalcon/compliance
Проверяет адреса и отслеживает транзакции в реальном времени, помогая VASP выявлять риски и подозрительную активность пользователей для соответствия требованиям AML/CFT.
🔥 Попробуйте прямо сейчас
BlockSec Phalcon теперь поддерживает более 30 основных блокчейнов, включая Ethereum, BSC, Solana, Base, Tron, Arbitrum, Avalanche, Optimism, Manta, Merlin, Mantle, Sei, Bitlayer, Core, BoB, Story, Sonic, Gnosis и Berachain.
Забронируйте демонстрацию продукта прямо сейчас! Нажмите здесь или перейдите по ссылке ниже. Начните всего за 10 секунд — первые 30 зарегистрировавшихся получат бесплатную пробную версию!
🔗 Забронировать демонстрацию: https://blocksec.com/book-demo
