ใหม่ crypto hack บน Ethereum และ Optimism

วันนี้มีการค้นพบการแฮ็คการเข้ารหัสลับใหม่: คราวนี้โปรโตคอล DeFi Arcadia Finance บนเครือข่าย Ethereum และ Optimism ถูกโจมตีสำเร็จ 

PeckShieldAlert เผยแพร่ข่าวบน Twitter โดยรายงานว่าการแฮ็กทำเงินให้กับผู้โจมตีได้ประมาณ 455,000 ดอลลาร์ 

การแฮ็กได้รับการยืนยันในภายหลังโดยผู้ดำเนินการของ Arcadia Finance เอง 

หลังจากนั้นไม่กี่ชั่วโมง พวกเขารายงานว่าพวกเขาสามารถติดต่อกับแฮ็กเกอร์ได้ และพวกเขากำลังทำงานร่วมกับพันธมิตรด้านความปลอดภัย หน่วยงานบังคับใช้กฎหมาย และชุมชนเพื่อแก้ปัญหาให้ดีที่สุดเท่าที่จะทำได้เพื่อพยายามกู้คืนเงินทุนสำหรับ ผู้ใช้โปรโตคอล

ข้อผิดพลาดที่นำไปสู่การแฮ็ค crypto

จากข้อมูลของ PeckShield การแฮกไปยังสัญญาอัจฉริยะของ Arcadia Finance นั้นเกิดจากการตรวจสอบความถูกต้องของข้อมูลที่ไม่น่าเชื่อถือซึ่งถูกใช้เพื่อระบายเงินทุนจากเงินสำรองของ darcWETH และ darcUSDC

darcWETH และ darcUSDC เป็นโทเค็นการเงินของ Arcadia Finance สองรายการที่ห่อหุ้มไว้ ดังนั้นทั้งคู่จึงถือเงินสำรอง 

ในทางทฤษฎีสำหรับทุกโทเค็น darcWETH ควรมีโทเค็น WETH ในการสำรอง และสำหรับทุกโทเค็น darcUSDC ควรมีโทเค็น USDC 

เห็นได้ชัดว่าสัญญาอัจฉริยะที่จัดการเงินสำรองของโทเค็นที่ถูกห่อหุ้มทั้งสองนี้มีข้อบกพร่องที่ผู้โจมตีสามารถใช้ประโยชน์ได้ 

นอกจากนี้ PeckShield ยังค้นพบการขาดการป้องกันการกลับเข้ามาใหม่ในสัญญาอัจฉริยะเหล่านี้ ซึ่งวิธีนี้ทำให้การชำระเงินทันทีสามารถข้ามการตรวจสอบสถานะภายในของผู้จัดการเงินสำรองได้ 

เพื่อความเป็นธรรม Arcadia ได้หักล้างการสร้างใหม่นี้ในภายหลัง แต่ไม่สามารถให้คำอธิบายอื่นได้ 

เงินส่วนใหญ่ถูกขโมยไปจากห่วงโซ่ของ Optimism และจากนั้นพวกเขาก็ถูกย้ายไปด้วย Tornado Cash เพื่อติดตามพวกเขา 

โปรโตคอล Arcadia Finance

Arcadia Finance เป็นโปรโตคอล DeFi บน Ethereum และ Optimism ที่ไม่มีโทเค็นดั้งเดิมของตัวเอง 

ก่อนการแฮ็ก TVL มีมูลค่าประมาณ 600,000 ดอลลาร์ ขณะที่หลังการโจรกรรม ราคาลดลงเหลือ 145,000 ดอลลาร์ 

นี่เป็นโปรโตคอลที่ไม่ต้องดูแลซึ่งอนุญาตให้มีองค์ประกอบของบัญชีข้ามขอบบนเครือข่าย 

ผู้ใช้บัญชีมาร์จิ้นเหล่านี้สามารถค้ำประกันกระเป๋าเงินทั้งหมด เข้าถึงเงินทุนที่มากกว่ามูลค่าหลักประกันเริ่มต้นถึง 10 เท่า และใช้หลักประกันที่ฝากและทุนที่ยืมเพื่อโต้ตอบกับโปรโตคอล DeFi อื่น ๆ ในลักษณะที่ไม่ได้รับอนุญาต 

ผู้ให้กู้ให้สภาพคล่องแก่กลุ่มเงินกู้ของ Arcadia โดยได้รับผลตอบแทนแบบพาสซีฟ

แฮ็กเกอร์ไม่สามารถขโมยเงินโดยตรงจากกระเป๋าเงินของผู้ใช้ได้โดยตรง แต่ขโมยจากเงินที่ใช้เป็นทุนสำรองในการออกโทเค็น darcWETH และ darcUSDC 

ดังนั้นจึงไม่มีการขโมย darcWETH หรือ darcUSDC โดยตรงจากกระเป๋าเงินของผู้ใช้ แต่ WETH และ USDC ถูกขโมยจากกระเป๋าเงินสำรอง ซึ่งหมายความว่าไม่มี 1 WETH อีกต่อไปสำหรับทุกๆ darcWETH ที่ออก และ 1 USDC สำหรับทุกๆ darcUSDC ที่ออก ดังนั้นผู้ใช้จึงยังมีโทเค็นที่ห่อไว้ทั้งหมดอย่างมีประสิทธิภาพ แต่ไม่สามารถแลกได้อีกต่อไป

ปัญหาเกี่ยวกับโทเค็นที่ห่อ

มักกล่าวกันว่ากระเป๋าเงินที่ไม่ได้ถูกคุมขังนั้นปลอดภัย หากจัดเก็บและบำรุงรักษาอย่างเหมาะสม แต่บางครั้งความเสี่ยงก็อยู่ที่ต้นน้ำ 

แท้จริงแล้ว สำหรับกระเป๋าเงินที่ไม่ได้ถูกคุมขัง มีความแตกต่างกันเล็กน้อยในการจัดเก็บโทเค็นดั้งเดิม เช่น USDC หรือโทเค็นที่ห่อไว้ เช่น darcUSDC 

อย่างไรก็ตาม โทเค็นที่ถูกห่อหุ้มมีความเสี่ยงเพิ่มขึ้นอีกชั้นหนึ่ง ในความเป็นจริง การดูแลของหลักประกันไม่ได้ดำเนินการโดยผู้ใช้เองในกระเป๋าเงินที่ไม่ใช่การดูแล แต่โดยผู้จัดการของโทเค็นที่ห่อไว้ 

อันที่จริงแล้ว สิ่งนี้ไม่แตกต่างจากกระเป๋าคุมข้อมูลมากนัก เนื่องจากการดูแลหลักประกันนั้นเทียบเท่ากับการดูแลโทเค็นที่ห่อหุ้มไว้ 

ดังนั้นแม้ว่ากระเป๋าเงินของผู้ใช้ที่ถือโทเค็นที่ห่อจะไม่ถูกละเมิด ในกรณีที่มีการละเมิดกระเป๋าเงินสำรอง ผู้ใช้ยังคงสูญเสียเงินได้ เพียงเพราะในขณะที่พวกเขายังมีโทเค็นที่ห่อไว้ พวกเขาจะไม่สามารถแลกได้อีกต่อไป มูลค่าที่แท้จริงของพวกเขาด้วยวิธีนี้จะมีค่าเป็นศูนย์อย่างมีประสิทธิภาพ 

สิ่งนี้นำไปใช้จริงกับ USDC เช่นกัน เพราะแม้ว่าจะไม่ใช่โทเค็นแบบห่อ แต่เป็น Stablecoin ที่มีการค้ำประกัน หมายความว่ามีเงินสำรองเป็นหลักประกัน ซึ่งถือครองและจัดการโดยหน่วยงานเดียว (Circle) 

ผลกระทบต่อตลาด crypto ของการแฮ็กที่เกิดขึ้น

ผลกระทบต่อตลาด crypto ของการแฮ็กนี้แทบจะเป็นศูนย์ หากเราไม่รวมโทเค็นที่รวมไว้ darcWETH และ darcUSDC 

OP ซึ่งเป็นโทเค็นดั้งเดิมของ Optimism ก็ไม่ประสบกับการขาดทุนอย่างรุนแรงเช่นกัน จนทำให้ราคาของมันในวันนี้เคลื่อนไหวไปในแนวเดียวกับโทเค็นอื่นๆ ที่คล้ายกัน 

จากนั้นอีกครั้ง $455,000 นั้นไม่มาก และตอนนี้ตลาด crypto ได้พัฒนานิสัยของการขโมยแบบนี้บนโปรโตคอล DeFi 

นอกจากนี้ DeFi ไม่เกี่ยวกับ Bitcoin และตอนนี้ Bitcoin เป็นผู้กำหนดแนวโน้มในตลาด crypto 

สถานการณ์เช่นนี้มีไว้เพื่อให้เข้าใจถึงความเสี่ยงที่เกี่ยวข้องเมื่อใช้โปรโตคอล DeFi ได้ดีขึ้น โดยเฉพาะอย่างยิ่งเมื่อพวกมันถูกซ่อน เช่น ในกรณีของโทเค็นที่ห่อไว้ 

สิ่งที่แย่กว่านั้นเกิดขึ้นในเดือนมีนาคม เมื่อพบว่า Circle ถือครองส่วนสำคัญของเงินสำรอง USDC ในธนาคาร Silvergate ที่ล้มเหลว จนทำให้เกิดความกลัวว่า Stablecoin อาจสูญเสียหมุดไปกับเงินดอลลาร์ไปชั่วขณะ 

แต่จากนั้นธนาคารกลางของสหรัฐอเมริกาก็เข้าแทรกแซงโดยตรงเพื่อชดเชยส่วนที่ขาดทั้งหมด ดังนั้นจึงคืนเงินทุนทั้งหมดให้แก่ผู้ฝากเงินของ Silvergate ทั้งหมด