Euler Finance, flaş kredi saldırısı ile karşılaştı, neredeyse 200 milyon dolar kaybetti

13 Mart'ta, Euler Finance projesi bir akıllı sözleşme açığı nedeniyle flaş kredi saldırısına uğradı ve yaklaşık 197 milyon dolarlık bir kayıp yaşandı. Saldırgan, projedeki donateToReserves fonksiyonunun likidite kontrolü eksikliğinden faydalanarak, farklı kripto paralarla birden fazla işlem gerçekleştirerek kar elde etti. Şu anda, çalınan fonlar hala saldırganın hesabında beklemekte.

Saldırı Süreci Analizi

1. Saldırgan öncelikle bir borç verme platformundan 30 milyon DAI tutarında Flaş Krediler aldı ve hem borç verme hem de tasfiye için iki sözleşme dağıttı.

2. 20 milyon DAI'yi Euler Protocol sözleşmesine teminat olarak yatırın ve 19.5 milyon eDAI alın.

3. Euler Protocol'ün 10 kat kaldıraç özelliğini kullanarak 1.956 milyon eDAI ve 2 milyon dDAI ödünç alın.

4. Kalan 10 milyon DAI ile borcun bir kısmını geri ödeyin ve ilgili dDAI'yi yok edin, ardından eşit miktarda eDAI ve dDAI'yi tekrar borç alın.

5. donateToReserves fonksiyonu ile 1 milyar eDAI bağışlayarak, hemen ardından liquidate fonksiyonunu çağırarak 3.1 milyar dDAI ve 2.5 milyar eDAI elde ettim.

6. Son olarak 38.9 milyon DAI çekildi, 30 milyon Flaş Krediler geri ödendi, net kar yaklaşık 8.87 milyon DAI.

Açık Neden Analizi

Saldırının başarılı olmasının başlıca nedeni, donateToReserves fonksiyonunun gerekli likidite kontrollerinden yoksun olmasıdır. Mint gibi diğer kritik fonksiyonların aksine, donateToReserves fonksiyonu kullanıcı likidite doğrulaması için checkLiquidity'i çağırmamıştır. Bu durum, saldırganların belirli işlemler aracılığıyla hesaplarını tasfiye edilebilir bir duruma getirmesine ve ardından tasfiye ile kazanç elde etmesine olanak tanımıştır.

Normal koşullarda, checkLiquidity fonksiyonu RiskManager modülünü çağırarak kullanıcıların Etoken miktarının her zaman Dtoken miktarından büyük olmasını sağlar. Ancak, donateToReserves fonksiyonu bu kritik adımı atlayarak saldırılar için bir fırsat yaratmıştır.

Güvenlik Önerileri

Bu olay, akıllı sözleşmelerin güvenlik denetimlerinin önemini bir kez daha vurgulamaktadır. Proje sahipleri, lansmandan önce kapsamlı ve detaylı bir güvenlik kontrolü yapmalı, özellikle borç verme projeleri için aşağıdaki birkaç alana özellikle dikkat etmelidir:

1. Fonların geri ödeme mekanizmasının bütünlüğü
2. Likidite testinin kapsamlılığı
3. Borç tasfiye sürecinin güvenliği

Bu kritik aşamaların güvenliğinden emin olunmadığı sürece, benzer saldırıların meydana gelmesini etkili bir şekilde önlemek mümkün değildir. Web3 ekosisteminin sürekli gelişimiyle birlikte, akıllı sözleşmelerin güvenliği sektördeki dikkat çekici bir odak olmaya devam edecektir.