Farmy Beanstalk tracą 182 mln USD w wyniku hackowania zarządzania DeFi

Beanstalk Farms, oparta na kredytach protokół stablecoin, potwierdził, że stracił całe zabezpieczenie w wysokości 182 milionów dolarów z powodu naruszenia bezpieczeństwa, które zostało wykonane przez dwie złowrogie propozycje zarządzania w połączeniu z atakiem pożyczki błyskawicznej.

Protokół stablecoin wykorzystał jego system propozycji zarządzania, który umożliwił złośliwym podmiotom wydobycie wszystkich tych pieniędzy jako zabezpieczenia. Ten problem z protokołem został zasiany przez podejrzane zarządzanie propozycje BIP-18 i BIP-19, które zostały wystawione 16 kwietnia przez przestępcę, który poprosił o protokół przekazania części środków na Ukrainę.

Ale te propozycje miały złośliwego jeźdźca, który był do nich dołączony, co ostatecznie utworzyło lej funduszy z protokołu opartego na inteligentnym audycie kontraktowym BlockSec.

Ostatnie naruszenie bezpieczeństwa protokołu zdecentralizowanych finansów (DeFi) miało miejsce o 12:24 UTC. W tym czasie haker wyciągnął 1 miliard USD pożyczek flashowych z protokołu AAVE (AAVE) denominowanych w monetach stabilnych USD Coin (USDC), DAI, (DAI) i Tether (USDT).

Wykorzystali fundusze, aby uzyskać odpowiednie aktywa, aby przejąć 67% zarządzania protokołem i Zatwierdzać ich propozycje.

Dokładamy wszelkich starań, aby iść naprzód. Jako projekt zdecentralizowany, prosimy społeczność DeFi i ekspertów w dziedzinie analityki łańcuchowej o pomoc w ograniczeniu możliwości wyzyskiwania środków za pośrednictwem CEX. Jeśli wyzyskiwacz jest otwarty na dyskusję, my też. https://t.co/fwceVz6hbi

— Farmy Fasoli (@Farmy Fasoli) 17 kwietnia 2022 r.

Pożyczka flash musi zostać wykonana i spłacona w ramach jednego bloku i zwykle wymaga jednoczesnego sfinalizowania wielu inteligentnych kontraktów. Pożyczki Flash były wcześniej wykorzystywane do wykonywania hacków i exploitów bezpieczeństwa innych protokołów. Beanstalk Farms jest opisywana jako zdecentralizowana, algorytmiczna platforma do wydawania stablecoinów, która jest obsługiwana przez Ethereum.

W tym kontekście sprawa technicznie nie była włamaniem, ponieważ inteligentne kontrakty i procesy zarządzania działały idealnie zgodnie z założeniami. Wykorzystano problemy i wady w ich konstrukcji, które rzecznik projektu „Publius” przyznał na spotkaniu, które odbyło się 18 kwietnia, kiedy stwierdził:

„To niefortunne, że ta sama procedura zarządzania, która postawiła łodygę fasoli w sytuacji, aby odnieść sukces, ostatecznie doprowadziła do jej zguby”.

Firma PeckShield zajmująca się analizą bezpieczeństwa Blockchain powiadomiła zespół Beanstalk za pośrednictwem Twitter o 12:41 UTC 17 kwietnia, że ​​może być problem ze złowieszczym oświadczeniem:

„Cześć, @beanstalkFarms, możesz rzucić okiem”.

Nasza wstępna analiza pokazuje, że @BeandstalkFarms. strata wynosi ~182 mln $! Oto podział skradzionych aktywów: 79,238,241 3 1,637,956 BEAN36,084,584CRV-f, 0.54 2 XNUMX BEANLUSD-f, XNUMX XNUMX XNUMX BEAN i XNUMX UNI-VXNUMX_WETH_BEAN. https://t.co/8OzPn8F8ot

- PeckShield Inc. (@peckshield) 17 kwietnia 2022 r.

W tym momencie było już za późno. Przestępca ukradł już około 80 milionów dolarów w fasoli (BEAN) i eterze (ETH), podczas gdy cały protokół stracił 182 miliony dolarów w całkowitej wartości zablokowanej (TVL) na podstawie danych uzyskanych z PeckShield. BEAN spadł teraz o około 80%, notując 0.19 USD w oparciu o CoinGecko ale spadł do 0.06 USD, gdy haker porzucił ich tokeny.

Jak eksploatator farmy fasoli zrealizował plan

Eksploatator wymienił BEAN na ETH, a później wysłał monety do Tornado Cash, aby zatrzeć cyfrowe ślady. Ale wysłali również 250,000 11 USDC do portfela Ukraine Crypto Donation. Warto zauważyć, że 49 kwietnia o 17:XNUMX czasu UTC Publius opublikował, że projekt może zostać utracony, ponieważ nie ma wsparcia kapitałowego na pokrycie tych strat, stwierdzając: „Jesteśmy popieprzone”.

Na oficjalnym spotkaniu zespołu i społeczności na kanale Beanstalk Discord, które miało miejsce 18 kwietnia, Publius doxx do xx osób, które opracowały projekt. Należą do nich Brendan Sanderson, Benjamin Weintraub i Michael Montoya, którzy razem uczęszczali na Uniwersytet w Chicago i założyli Beanstalk Farms.

Montoya stwierdził, że zespół skonsultował się z usługami Federalne Biuro Śledcze (FBI) Centrum Przestępczości i:

„W pełni współpracuj z nimi, aby wytropić sprawców i odzyskać fundusze”.

Inteligentne kontrakty protokołu zostały zawieszone, a wszystkie przywileje związane z zarządzaniem zostały odebrane przez zespół. Zespół nie odpowiedział na pytanie, czy uważają, że FBI ma jakiekolwiek prawo do pomocy, ale Publius uważa, że ​​należy zbadać kradzież.

W tym kontekście społeczność Beanstalk zdecydowanie wspierała zespół w trudnych czasach, pomimo ogromnych strat osobistych. Niemniej jednak członek społeczności „Astrabean” uważa, że ​​zespół musi wziąć większą odpowiedzialność za ten atak, zamiast akceptować to, co się wydarzyło, jako uczciwy błąd, z którego projekt musi się zregenerować i przejść dalej. On to powiedział:

„Chciałbym, żebyście jako liderzy wzięli odpowiedzialność za to, co się stało”.

Z drugiej strony członek społeczności „CharlieP” powtórzył te obawy dotyczące zaufania do protokołu. Zapytał zespół Beanstalk Farms:

„Chcesz powiedzieć, że nie ponosisz odpowiedzialności za to przedsięwzięcie? Jeśli tak jest, kim mamy ufać, że to się nie powtórzy?”

Publius odpowiedział, że projekt jest po prostu eksperymentem z kodem open source, a nie biznesem. Dodał, że ani on, ani zespół Beanstalk nie powinni być pociągani do odpowiedzialności za to, co się stało. Stwierdził:

„Kiedy prosisz nas o wzięcie odpowiedzialności, jest to naprawdę niewłaściwe”.