$260М зникли за ніч

@DriftProtocol , один із найшвидше зростаючих перпетуаційних DEX на Solana, зіткнувся з моментом, який показав, наскільки крихким може бути DeFi під тиском.
Давайте розберемося. 🧵
-----------------------
𝐏𝐨𝐩ередні 𝐏𝐨казники
Onchain безпека помітила щось не так.
коротко:
→ Основна проблема: дисбаланс системи перпетуаційних ф’ючерсів + заставна система
→ Вектор атаки: маніпуляція ціною/оракулем за низької ліквідності
→ Результат: потенційний борг і неплатоспроможність протоколу
-----------------------
𝐏𝐥𝐚𝐧 𝐇𝐢д 𝐁𝐚𝐜𝐤 𝐎𝐟 𝐓𝐡𝐚𝐭
Це не був “хак” у традиційному розумінні.
Це була спроба економічної експлуатації.
Ось план дій:
> Відкривати великі позики з кредитним плечем
> Тиснути на ціну в тонкому ринку
> Завищувати вартість застави
> Позичати під неї
> Вийти до того, як система виправиться
Все було виконано ідеально, протокол залишився з збитками.
-----------------------
𝐓𝐡𝐞 𝐒𝐞𝐜𝐫𝐞𝐭 𝐖𝐞𝐚𝐤 𝐏𝐨𝐢𝐧𝐭
У центрі всього були Оракули і глибина ліквідності.
Drift покладається на цінові стрічки та активність ринку, щоб залишатися збалансованим.
Але коли ліквідність тонка:
Ціни можна підштовхнути, заставу спотворити, а ліквідації затримати.
Саме в цій прогалині діють зловмисники.
Кілька секунд неправильного ціноутворення — і все готово.
-----------------------
𝐃𝐞𝐬𝐭𝐚𝐛𝐥𝐢𝐳𝐚𝐭𝐢𝐨𝐧 𝐎𝐟 𝐒𝐨𝐦𝐞 𝐎𝐟 𝐓𝐡𝐞 𝐀𝐬𝐬𝐞𝐭𝐬
> USDC: $60.4М
> USDT: $5.65М
> USDS: $5.3М
> JPL: $155.6М
> WETH: $4.7М
> DSOL: $4.5М
> CBBTC: $11.3М
> Інші фонди: $17.37М
Приблизно $260 мільйонів викрадених коштів.
-----------------------
𝐓𝐡𝐚𝐭 𝐌𝐞𝐚𝐧𝐬 𝐟𝐨𝐫 𝐃𝐞𝐅𝐢
Це частина, яку більшість людей пропускає:
DeFi не лише вразливий для хакерів.
Він вразливий для трейдерів, які краще розуміють систему, ніж сама система.
Зі зростанням складності протоколів, зростає кількість крайніх випадків, і легальні експлойти стають більш прибутковими.
Наступний великий провал може зовсім не виглядати як хак.
-----------------------
𝐇𝐨𝐰 𝐭𝐨 𝐒𝐭𝐚𝐲 𝐒𝐚𝐟𝐞
➢ Не вважайте, що “відсутність хаку” означає “відсутність ризику”.
➢ Слідкуйте за ліквідністю, а не лише за TVL.
➢ Будьте обережні з платформами з високим кредитним плечем.
➢ Розумійте механіку, а не лише APY.