Phân tích rủi ro an toàn DeFi: Cho vay chớp nhoáng, tấn công thao túng giá và các ý tưởng thiết kế giao thức giảm thiểu rủi ro
Tuyển chọn TechFlowTuyển chọn TechFlow
Phân tích rủi ro an toàn DeFi: Cho vay chớp nhoáng, tấn công thao túng giá và các ý tưởng thiết kế giao thức giảm thiểu rủi ro
Khi thị phần tăng trưởng, các nền tảng DeFi cũng phải đối mặt với ngày càng nhiều mối đe dọa về an ninh.
Chuyên sâu báo cáo Web3Tác giả: Revelo Intel
Biên dịch: TechFlow
Trong lĩnh vực tiền mã hóa, DeFi đã trở thành một hướng phát triển quan trọng. Tuy nhiên, khi thị phần của nó tăng lên, các nền tảng DeFi cũng đang phải đối mặt với ngày càng nhiều mối đe dọa về an ninh.
Gần đây, Sirmoremoney - đồng sáng lập và người phụ trách sản phẩm của Moremoney - đã thảo luận trên Twitter Spaces về một số chủ đề liên quan đến an toàn DeFi, đặc biệt là các rủi ro liên quan đến thao túng giá tài sản thế chấp và các cuộc tấn công bằng khoản vay chớp nhoáng (flash loan). Revelo Intel đã tổng hợp lại những phát biểu trong buổi trò chuyện này và bàn luận về cách thức áp dụng các biện pháp nhằm giảm thiểu những rủi ro đó.
Các cuộc tấn công khai thác lỗ hổng hợp đồng / Tấn công bằng khoản vay chớp nhoáng
Tấn công bằng khoản vay chớp nhoáng liên quan đến việc lợi dụng khả năng vay tiền trong thời gian ngắn mà không cần tài sản thế chấp để thao túng giá hoặc đánh cắp tiền. Vụ tấn công Platypus là một ví dụ minh họa cho các cuộc tấn công khai thác lỗ hổng hợp đồng.
Kẻ tấn công đã vay 44 triệu USD dưới dạng khoản vay chớp nhoáng từ Aave, gửi vào Platypus và tiếp tục vay thêm 42 triệu USD. Sau đó, chúng đã lợi dụng lỗ hổng trong hợp đồng để thực hiện rút tiền khẩn cấp, lấy lại khoản tiền gửi ban đầu và giữ lại khoản vay. Cuộc tấn công này khiến Platypus Finance thiệt hại 200 triệu USD.
Tuy nhiên, chúng chỉ có thể đổi được khoảng 8,5 triệu USD từ số tiền USB còn lại trị giá 42 triệu USD. Các cố vấn an ninh và đội ngũ nội bộ của Platypus đã thu hồi được 2,4 triệu USD, trong khi Feather và Circle đã đóng băng số tiền bị mắc kẹt trong hợp đồng. Kẻ tấn công sau đó đã bị bắt tại Pháp.
Cuộc tấn công này do một hacker nghiệp dư thực hiện và đến nay đã thu hồi được khoảng 70% số tiền bị đánh cắp.
Bài học rút ra từ sự việc này là các giao thức cần phải có các biện pháp an toàn phù hợp, ví dụ như giới hạn quyền truy cập chức năng rút tiền khẩn cấp và thiết lập trần nợ để hạn chế mức độ thiệt hại có thể xảy ra.
Chức năng rút tiền khẩn cấp
Ví dụ, Moremoney có một chức năng cứu trợ (rescue) chỉ có thể được gọi bởi chính giao thức hoặc thông qua cơ chế quản trị.
Họ nhấn mạnh tầm quan trọng của việc giới hạn ai có thể kích hoạt chức năng này, điều mà Platypus đã không làm trong trường hợp nói trên.
Các cuộc tấn công thao túng giá tài sản thế chấp
Các cuộc tấn công thao túng giá liên quan đến việc bóp méo giá token trên các sàn giao dịch phi tập trung (DEX), nhằm vay được nhiều tiền hơn giá trị thực tế của tài sản thế chấp.
Lấy ví dụ các vụ tấn công vào Mango và Loadstar. Những cuộc tấn công này khiến người dùng chịu tổn thất nặng nề và cho thấy tầm quan trọng của việc theo dõi giá tài sản thế chấp và thực hiện các biện pháp ngăn chặn thao túng giá.
Trong cả hai trường hợp, kẻ tấn công đã thao túng giá token trên DEX để vay được nhiều tiền hơn giá trị thực của tài sản thế chấp. Việc lựa chọn oracle giá cả cực kỳ quan trọng đối với độ an toàn của giao thức; sử dụng oracle giá giao ngay luôn là một ý tưởng tồi vì sụp giá chớp nhoáng hoặc biến động giá khác có thể dẫn đến tổn thất nghiêm trọng.
Các biện pháp giảm thiểu rủi ro
Những biện pháp này bao gồm kiểm toán kỹ lưỡng các hợp đồng thông minh, triển khai xác thực đa yếu tố và các biện pháp bảo mật khác, cũng như cô lập rủi ro liên quan đến các tài sản khác nhau và các nhóm cho vay riêng biệt.
Các nhóm CDP tách biệt
Các nhóm CDP (vị thế nợ được đảm bảo bằng tài sản thế chấp) tách biệt rất quan trọng trong việc giúp giảm thiểu rủi ro liên quan đến các nhóm đa yếu tố.
Họ chỉ ra rằng mỗi tài sản thế chấp đều được tách biệt, nghĩa là nếu kẻ tấn công có thể khai thác một trong các tài sản đó, chúng sẽ không thể rút tiền từ toàn bộ nhóm.
Mức trần nợ tách biệt
Mức trần nợ tách biệt có thể giới hạn lượng tiền có thể vay đối với từng tài sản thế chấp.
Họ cho rằng điều này giúp ngăn chặn việc kẻ tấn công vay một lượng lớn tiền và làm giảm rủi ro liên quan đến các nhóm đa yếu tố.
Mức trần nợ toàn cầu
Giao thức có thể áp dụng mức trần nợ toàn cầu để giới hạn tổng lượng tiền được vay trên tất cả các tài sản trong nền tảng.
Điều này giúp ngăn ngừa tình trạng đòn bẩy quá mức trên nền tảng và giảm thiểu tác động tiềm tàng của bất kỳ cuộc tấn công đơn lẻ nào.
Chào mừng tham gia cộng đồng chính thức TechFlow
Nhóm Telegram:https://t.me/TechFlowDaily
Tài khoản Twitter chính thức:https://x.com/TechFlowPost
Tài khoản Twitter tiếng Anh:https://x.com/BlockFlow_News
Revelo Intel
