Pré-venda dos Tokens da EarthMeta AO VIVO! Próxima x100? 🚀O lado feio do DeFi mostrou sua cabeça mais uma vez esta semana quando o protocolo Binance Smart Chain PancakeBunny sofreu um ataque catastrófico de vulnerabilidade de empréstimo instantâneo de $ 200 milhões , perdendo mais de 700.000 BUNNY e 114.000 tokens BNB no processo. Apesar dos melhores esforços da indústria, a perda é permanente. E não, apesar de vários pedidos, nem mesmo Nic Cage conseguiu fazer o hacker colocar esse Bunny de volta na caixa .
Piadas à parte, porém, os ataques instantâneos de empréstimos não são instantâneos. Na verdade, eles estão se tornando um problema muito sério no espaço das criptomoedas e, especificamente, das finanças descentralizadas (DeFi) .
Neste artigo, veremos o que são, como funcionam, por que são tão comuns e se podem ser interrompidos.
Neste artigo, vamos discutir:
O que é um ataque instantâneo a empréstimos?
Ataques de empréstimo instantâneo são um tipo de ataque DeFi em que um ladrão cibernético pega um empréstimo instantâneo (uma forma de empréstimo sem garantia ) de um protocolo de empréstimo e o usa em conjunto com vários tipos de truques para manipular o mercado a seu favor. Esses ataques podem ocorrer em meros segundos e ainda envolver quatro ou mais protocolos DeFi.
Ataques de empréstimo instantâneo são os tipos mais comuns de ataques DeFi, já que são os mais baratos e fáceis de executar. Eles têm sido constantemente manchetes desde o aumento da popularidade do DeFi em 2020 e parecem estar crescendo mais desenfreadamente em 2021, atingindo várias centenas de milhões de dólares em perdas até o momento.
O que são empréstimos em Flash?
Os empréstimos instantâneos são um novo tipo de empréstimo sem garantia imposto por contratos inteligentes lançados pela Aave , um dos principais protocolos de empréstimo em DeFi.
Tradicionalmente, existem dois tipos de empréstimos: empréstimos garantidos, que exigem garantias, e empréstimos não garantidos, que não. Um bom exemplo de um empréstimo não garantido é quando você toma emprestado $ 2.000 de um banco. Alguns bancos estão dispostos a emprestar essa quantia, desde que você tenha um bom histórico de pagamento de empréstimos.
No entanto, se a quantia que você pretende pedir emprestado for muito grande, seria muito arriscado para eles oferecerem um empréstimo sem garantia, mesmo se você tiver uma boa pontuação de crédito. Por exemplo, se você deseja emprestar $ 30.000, os bancos normalmente exigem que você forneça garantias, como sua casa, veículo, etc., para reduzir o risco.
Os empréstimos instantâneos são essencialmente empréstimos não garantidos com esteróides para a geração DeFi degen , não exigindo garantias, verificações de crédito, nem um limite de quanto você pode pedir emprestado, desde que possa pagar o empréstimo na mesma transação.
A arbitragem é o caso de uso mais popular de empréstimos rápidos, pois permite que os comerciantes ganhem com as diferenças de preço em várias bolsas. Por exemplo, se LINK é $ 30 na troca A e $ 35 na troca B, um usuário pode tomar emprestado por meio de um empréstimo rápido e conduzir um pedido separado para comprar 100 LINK por $ 3.000 na troca A, depois vender todos por $ 3.500 na troca B e pagar de volta o empréstimo de $ 3.000. Nesse cenário, o usuário poderá embolsar $ 500 menos taxas.
Como funcionam os ataques instantâneos de empréstimos
Os empréstimos instantâneos permitem que o usuário peça o quanto quiser com capital zero. Por exemplo, se você gostaria de emprestar $ 70.000 em ETH , um protocolo de empréstimo imediatamente dá a você, mas isso não significa que seja seu. Você precisa fazer algo com os fundos emprestados para pagar o empréstimo e talvez embolsar o valor excedente.
Para que isso funcione, o processo precisa ser rápido e a dívida deve ser quitada com o protocolo no prazo, caso contrário, a transação será estornada. Um credor descentralizado não exige garantias de você, uma vez que o acordo para pagar sua dívida é executado por um blockchain . Os atacantes de empréstimo instantâneo procuram encontrar maneiras de manipular o mercado e, ao mesmo tempo, obedecer às regras de um blockchain.
Estudos de caso
Vamos explorar dois cenários do mundo real de ataques de empréstimo instantâneo que ocorreram para ilustrar melhor a anatomia dessas explorações.
Ataque PancakeBunny
Vamos revisitar esse coelho e sua atração fatal para os hackers. O mais recente ataque de empréstimo instantâneo em maio de 2021 ocorreu em PancakeBunny , um agregador de produção agrícola movido a BSC , que sofreu uma exploração que fez seu token despencar em mais de 95% de seu valor anterior.
O invasor inicialmente pegou emprestado uma grande quantidade de BNB por meio do PancakeSwap e o usou para manipular o preço de USDT / BNB e BUNNY / BNB nos pools do PancakeBunny. Isso permitiu que o hacker roubasse uma grande quantidade de BUNNY, que despejou no mercado, fazendo com que o preço despencasse. O hacker então pagou a dívida por meio do PancakeSwap.
Os dados sugerem que o hacker conseguiu se safar com quase US $ 3 milhões em lucros, deixando um protocolo manchado em seu rastro.
Alpha Homora Exploit
O maior hack de empréstimo instantâneo em 2021 ocorreu em fevereiro passado, quando o protocolo Alpha Homora foi drenado em US $ 37 milhões usando o Iron Bank, a plataforma de empréstimo do Cream. O protocolo de agricultura de rendimento alavancado foi atingido por uma série de empréstimos rápidos.
O hacker pediu repetidamente o sUSD do Banco de Ferro por meio do dapp Alpha Homora, dobrando o valor emprestado a cada vez. Isso foi feito em um processo de duas transações em que o hacker emprestou os fundos de volta ao Iron Bank a cada vez, o que permitiu que eles recebessem Yearn Synth sUSD (cySUSD) em troca.
Em seguida, o perpetrador pegou emprestado 1,8 milhão de moedas de USD (USDC) de Aave por meio de um empréstimo instantâneo e as trocou por sUSD usando Curve . O sUSD foi usado para pagar o empréstimo instantâneo e emprestar ao Iron Bank, o que permitiu que eles continuamente pedissem e emprestassem mais e recebessem uma quantidade proporcional de cySUSD a cada vez.
Basicamente, os hackers enxaguaram e repetiram esse processo muitas vezes, o que lhes permitiu roubar grandes quantidades de cyUSD cremoso que, por sua vez, usaram para emprestar outras criptomoedas do Banco de Ferro. Portanto, eles pegaram emprestado 13K Wrapped Ethereum (WETH) , 3,6 milhões de USDC, 5,6 milhões de USDT e 4,2 milhões de DAI .
Como você pode ver, o processo pode ser bastante complexo e requer uma série de etapas que precisam acontecer muito rapidamente, o que é uma prova de quão longe esses invasores estão dispostos a ir.
Por que ataques de empréstimos em Flash são comuns no DeFi
Os empréstimos instantâneos são esquemas de baixo risco, baixo custo e alta recompensa, o que os torna uma combinação perigosa na mente dos criminosos.
Aqui estão as principais razões pelas quais os ataques de empréstimo instantâneo estão aumentando.
Ataques instantâneos de empréstimos são baratos
Ao contrário de 51% dos ataques que precisam de recursos massivos para serem executados, os empréstimos flash exigem apenas três coisas: um computador, uma conexão com a Internet e, o mais importante, engenhosidade. Os hackers aparentemente precisam planejar como atacam, mas a execução leva apenas alguns segundos a alguns minutos. Portanto, também não requer muito investimento de tempo.
Ataques de empréstimos instantâneos são de baixo risco
Praticar qualquer atividade criminosa incorre em risco, mas imagine roubar um banco sem a necessidade de estar fisicamente no banco. Isso resume grosseiramente o ponto de vista dos invasores de empréstimos instantâneos. O último ano e meio provou como é fácil roubar protocolos DeFi.
Na verdade, nenhum invasor de empréstimo instantâneo foi detectado até o momento, pelo menos não recentemente. Isso ocorre porque a maioria deles não deixa rastros quando desaparecem devido à natureza das redes sem permissão e às ferramentas disponíveis para ofuscar identidades, como Tornado Cash.
Como Prevenir Ataques Flash de Empréstimos
Considerando o número crescente de ataques instantâneos a empréstimos no momento, está claro que ainda não existe uma solução completa e definitiva. No entanto, existem etapas notáveis que podem ser tomadas para combater esse problema.
Use Oráculos Descentralizados para Dados de Preços
A maneira mais ideal de reduzir o vetor de ataque para exploits de empréstimo flash é as plataformas DeFi usarem oráculos de preços descentralizados como Chainklink e Band Protocol em vez de depender de um único DEX para seu feed de preços. Alpha Homora teve que aprender isso da maneira mais difícil antes de decidir lançar seu Alpha Oracle Aggregator em maio passado.
Forçar transações críticas a passar por dois blocos
A Dragonfly Research propôs forçar os empréstimos instantâneos a passar por dois blocos em vez de um. No entanto, essa não é uma solução completa, pois se for projetado incorretamente, o explorador pode simplesmente atacar os dois blocos por empréstimo instantâneo . Além disso, isso pode afetar drasticamente a IU dos protocolos DeFi, uma vez que as transações não serão mais síncronas.
Usando ferramentas de detecção de ataques de empréstimo Flash
Um dos maiores fatores que permitem que os exploradores escapem impunes de ataques de empréstimo instantâneo é o atraso nos tempos de resposta dos desenvolvedores de plataformas DeFi. E não podemos culpá-los porque os exploits geralmente são difíceis de identificar até que seja tarde demais.
O OpenZeppelin lançou recentemente um programa chamado OpenZeppelin Defender que permite aos gerentes de projeto detectar exploits de contratos inteligentes e outras atividades incomuns, o que lhes permitiria responder rapidamente e neutralizar os ataques. De acordo com sua postagem no blog , esta ferramenta já foi integrada pelas equipes Synthetix , Yearn e Opyn.
The Takeaway
Ataques de empréstimo instantâneo são a norma e estão aqui para ficar, pelo menos por um tempo. Apesar de todas as soluções propostas, precisamos observar que a tecnologia DeFi não está madura o suficiente para sermos complacentes, pois a cada semana, novas vulnerabilidades são expostas por hackers antes de serem corrigidas.
A única maneira de os desenvolvedores fazerem isso é maximizar as soluções que têm hoje e, se não funcionarem, aprenderão algo novo sempre que forem atacados.
Quanto aos usuários, não devemos ser desencorajados de participar de esquemas de DeFi, como staking, cultivo de rendimento e mineração de liquidez, pois eles também apresentam enormes oportunidades. Apenas lembre-se de calibrar cuidadosamente os riscos envolvidos e nunca depositar fundos que você não pode perder. O investimento tem tudo a ver com gestão de risco e o DeFi staking não é diferente.
