Nytt kryptohack på Ethereum og Optimisme

Et nytt kryptohack ble oppdaget i dag: denne gangen ble DeFi Arcadia Finance-protokollen på Ethereum- og Optimism-kjedene vellykket angrepet. 

PeckShieldAlert brøt nyhetene på Twitter, og rapporterte at hacket ga angriperne rundt 455,000 XNUMX dollar. 

Hacket ble også senere bekreftet av operatørene til Arcadia Finance selv. 

Etter noen timer rapporterte de at de var i stand til å komme i kontakt med hackeren, og at de jobbet sammen med sikkerhetspartnerne, politiet og samfunnet for å løse problemet så godt de kunne i et forsøk på å få tilbake penger til protokollbrukere.

Feilen som førte til kryptohacket

I følge PeckShield skyldtes hacket til Arcadia Finances smarte kontrakt at upålitelig inndatavalidering ble utnyttet for å tappe midler fra darcWETH- og darcUSDC-reserver.

darcWETH og darcUSDC er to innpakket Arcadia Finance-tokens, slik at de hver har reserver. 

Teoretisk for hvert darcWETH-token bør det være et WETH-token i reservene, og for hvert darcUSDC-token bør det være et USDC-token. 

Tydeligvis hadde den smarte kontrakten som administrerer reservene til disse to innpakkede tokenene en feil som angripere var i stand til å utnytte. 

Videre oppdaget PeckShield mangel på re-entry-beskyttelse i disse smarte kontraktene, som på denne måten tillot det umiddelbare oppgjøret å omgå den interne statssjekken til reserveforvalteren. 

For å være rettferdig, tilbakeviste Arcadia senere denne rekonstruksjonen, men klarte ikke å gi en alternativ forklaring. 

De fleste midlene ble stjålet fra Optimisms kjede, og de ble deretter flyttet takket være Tornado Cash for å miste oversikten over dem. 

Arcadia Finance-protokollen

Arcadia Finance er en DeFi-protokoll for Ethereum og optimisme som ikke har sitt eget opprinnelige token. 

Før hacket var TVL rundt $600,000, mens det etter tyveriet stupte til $145,000. 

Dette er en ikke-forvaringsprotokoll som tillater sammensetning av konti med kryssmargin i kjeden. 

Brukere av disse marginkontoene kan stille sikkerhetsstillelse for hele lommebøker, få tilgang til opptil 10 ganger mer kapital enn deres opprinnelige sikkerhetsverdi, og bruke den innsatte sikkerheten og lånte kapitalen til å samhandle med enhver annen DeFi-protokoll på en tillatelsesløs måte. 

Långivere gir likviditet til Arcadias lånepooler, og tjener passiv avkastning.

Ettersom hackerne ikke var forvarte, klarte ikke hackerne å stjele midler direkte fra brukernes lommebøker, men snarere fra de som ble brukt som reserver for å utstede de innpakkede tokenene darcWETH og darcUSDC. 

Dermed ble ingen darcWETH eller darcUSDC stjålet direkte fra brukernes lommebøker, men WETH og USDC ble stjålet fra lommebøkene som reservene ble holdt på. Dette betyr at det ikke lenger er 1 WETH for hver darcWETH som utstedes, og 1 USDC for hver darcUSDC som utstedes, så effektivt brukere fortsatt har alle sine innpakkede tokens, men kan ikke lenger løse dem inn.

Problemet med innpakkede tokens

Det sies ofte at lommebøker uten forvaring er trygge hvis de oppbevares og vedlikeholdes riktig, men noen ganger ligger risikoen oppstrøms. 

Det er faktisk liten forskjell på lagring av originale tokens, for eksempel USDC, eller innpakkede tokens, for eksempel darcUSDC, for enhver lommebok uten forvaring. 

Imidlertid har innpakket tokens et ekstra lag med risiko. Faktisk blir varetekten av sikkerheten ikke gjort av brukerne selv på deres ikke-depot-lommebøker, men av forvalterne av de innpakkede tokenene. 

Faktisk er dette ikke veldig forskjellig fra en depotlommebok, siden varetekt av sikkerheten på noen måter tilsvarer varetekt av de innpakkede tokens. 

Derfor, selv om lommebøkene til brukere som har innpakket tokens ikke brytes, i tilfelle brudd på reservelommebøkene, kan brukere fortsatt miste pengene sine, ganske enkelt fordi mens de fortsatt har de innpakkede tokenene, kan de ikke lenger løse dem inn. Deres faktiske verdi går på denne måten effektivt til null. 

Dette gjelder faktisk også USDC, fordi selv om det ikke er et innpakket token, er det en stabilisert mynt med sikkerhet, noe som betyr at den har reserver som sikkerhet, som holdes og administreres av en enkelt enhet (sirkel). 

Virkningen på kryptomarkedene av hacket som skjedde

Virkningen på kryptomarkedene av dette hacket har vært nesten null, hvis vi ekskluderer de innpakkede tokenene darcWETH og darcUSDC. 

OP, som er Optimisms opprinnelige token, har heller ikke lidd alvorlige tap, så mye at prisen i dag beveget seg på linje med prisene på mange andre lignende tokens. 

Så igjen, $455,000 XNUMX er ikke så mye, og nå har kryptomarkedene utviklet en vane med denne typen tyveri på DeFi-protokoller. 

Dessuten handler DeFi ikke om Bitcoin, og akkurat nå er det Bitcoin som dikterer trenden i kryptomarkedene. 

Situasjoner som denne tjener bare til å gi en bedre forståelse av risikoene ved bruk av DeFi-protokoller, spesielt når de er skjult som i tilfellet med innpakket tokens. 

Noe mye verre hadde skjedd i mars, da det ble oppdaget at Circle hadde en betydelig del av USDC-reservene på den mislykkede Silvergate-banken, så mye at man et øyeblikk fryktet at stablecoinen kunne miste koblingen til dollaren. 

Men så grep den amerikanske sentralbanken direkte inn for å dekke alle underskuddene, og ga derved alle Silvergate-innskytere tilbake alle sine midler.