Otro «vault de rendimiento por tramos» quedó vaciado en dos transacciones con préstamos flash. Esta vez fue Tranche Vault, en Avalanche, vinculado a Fence Finance y Valinor Digital. Según Blockaid, el monto ronda los 1,01 millones de USDC.
El método no tiene nada de novedoso: pedir dinero prestado mediante un préstamo flash, acuñar una cantidad inflada de participaciones del tramo y luego usar esas participaciones para retirar los USDC que quedaban en el vault. Alguien rastreó las transacciones: una acuñación de participaciones a las 23:56 UTC y un retiro a las 00:00 UTC, con cuatro minutos de diferencia. Según los datos de Arkham, llegaron 1.013.353,61 USDC a la billetera del atacante. The Defiant dice que revisó el saldo del contrato y no quedaba ni un solo USDC.
Lo que de verdad quiero criticar es la palabra «por tramos». La promesa de los tramos es que hay una capa sénior y otra subordinada, con el riesgo separado, para que quienes buscan algo conservador puedan ir a lo seguro. Pero si basta un préstamo flash para manipular el precio de las participaciones, ¿qué clase de segmentación es esa? Si la valoración del activo subyacente no resiste la manipulación dentro de un mismo bloque, la supuesta capa sénior no es más que la primera en ser vaciada.
Y luego está la actitud. Al mediodía todavía había un montón de cuentas publicando «el equipo no ha hecho declaraciones ni presentado un plan de recuperación». Cuando quieren que deposites, no paran de presumir de APY; cuando algo sale mal, en Twitter no se oye ni una mosca.
También hay una cuenta de investigación on-chain que publicó un hilo largo diciendo que rastreó los fondos desde un depósito en KuCoin, luego hizo una prueba en seco, después ejecutó el ataque y, por último, los envió a Solana mediante CCTP. Ellos mismos marcaron esa información como «verificada»; yo no puedo confirmarla de forma independiente, así que tómala solo como una pista.
Antes de depositar U en un vault pequeño para ganar rendimiento anual, hazte esta pregunta: ¿quién calcula el precio de las participaciones y se puede manipular con una sola transacción? Si no saben responder, ese APY estaba pensado desde el principio para otra persona.
#DeFi安全 #Avalanche
El método no tiene nada de novedoso: pedir dinero prestado mediante un préstamo flash, acuñar una cantidad inflada de participaciones del tramo y luego usar esas participaciones para retirar los USDC que quedaban en el vault. Alguien rastreó las transacciones: una acuñación de participaciones a las 23:56 UTC y un retiro a las 00:00 UTC, con cuatro minutos de diferencia. Según los datos de Arkham, llegaron 1.013.353,61 USDC a la billetera del atacante. The Defiant dice que revisó el saldo del contrato y no quedaba ni un solo USDC.
Lo que de verdad quiero criticar es la palabra «por tramos». La promesa de los tramos es que hay una capa sénior y otra subordinada, con el riesgo separado, para que quienes buscan algo conservador puedan ir a lo seguro. Pero si basta un préstamo flash para manipular el precio de las participaciones, ¿qué clase de segmentación es esa? Si la valoración del activo subyacente no resiste la manipulación dentro de un mismo bloque, la supuesta capa sénior no es más que la primera en ser vaciada.
Y luego está la actitud. Al mediodía todavía había un montón de cuentas publicando «el equipo no ha hecho declaraciones ni presentado un plan de recuperación». Cuando quieren que deposites, no paran de presumir de APY; cuando algo sale mal, en Twitter no se oye ni una mosca.
También hay una cuenta de investigación on-chain que publicó un hilo largo diciendo que rastreó los fondos desde un depósito en KuCoin, luego hizo una prueba en seco, después ejecutó el ataque y, por último, los envió a Solana mediante CCTP. Ellos mismos marcaron esa información como «verificada»; yo no puedo confirmarla de forma independiente, así que tómala solo como una pista.
Antes de depositar U en un vault pequeño para ganar rendimiento anual, hazte esta pregunta: ¿quién calcula el precio de las participaciones y se puede manipular con una sola transacción? Si no saben responder, ese APY estaba pensado desde el principio para otra persona.
#DeFi安全 #Avalanche