Satu lagi "brankas imbal hasil berjenjang" dikuras lewat dua transaksi flash loan. Kali ini Tranche Vault di Avalanche, yang terkait dengan Fence Finance dan Valinor Digital. Menurut Blockaid, jumlahnya sekitar 1,01 juta USDC.
Modusnya sama sekali bukan hal baru: meminjam dana lewat flash loan, mencetak porsi tranche dengan nilai yang digelembungkan, lalu menukarkan porsi itu untuk mengambil sisa USDC di brankas. Seseorang melacak transaksinya: pencetakan porsi terjadi pada 23:56 UTC, lalu pencairan pada 00:00 UTC—hanya berselang empat menit. Menurut data Arkham, 1.013.353,61 USDC masuk ke dompet penyerang. The Defiant mengatakan mereka memeriksa saldo kontrak dan tak menemukan satu pun USDC tersisa.
Yang benar-benar ingin saya kritisi adalah kata "berjenjang" itu. Cerita yang dijual tranche kepadamu adalah lapisan senior dan junior, risiko sudah dipisahkan, dan investor konservatif bisa memilih yang lebih aman. Tapi kalau harga porsinya bisa dimanipulasi dengan satu flash loan, apa gunanya dibagi menjadi beberapa lapisan? Kalau penetapan harga aset dasarnya tidak tahan terhadap manipulasi dalam satu blok, lapisan senior yang katanya lebih aman itu tak lebih dari lapisan pertama yang dikuras.
Lalu soal sikap. Sampai tengah hari, masih banyak akun yang menulis "tim belum memberi pernyataan dan belum ada rencana pemulihan". Saat mengajak orang menyimpan dana, mereka paling lantang meneriakkan APY. Begitu terjadi masalah, akun Twitter mereka mendadak sunyi.
Ada juga akun detektif on-chain yang membuat utas panjang, mengklaim telah melacak dana dari deposit KuCoin, menjalankan simulasi terlebih dahulu, baru beraksi, lalu memindahkannya ke Solana lewat CCTP. Label "verified" itu mereka berikan sendiri. Saya tidak bisa memverifikasinya secara independen, jadi anggap saja sebagai petunjuk.
Sebelum menyimpan U di brankas kecil semacam ini demi imbal hasil tahunan, tanyakan dulu: siapa yang menghitung harga porsinya, dan bisakah harga itu digoyahkan oleh satu transaksi? Kalau tak ada jawaban, APY itu sejak awal memang disiapkan untuk orang lain.
#DeFi安全 #Avalanche
Modusnya sama sekali bukan hal baru: meminjam dana lewat flash loan, mencetak porsi tranche dengan nilai yang digelembungkan, lalu menukarkan porsi itu untuk mengambil sisa USDC di brankas. Seseorang melacak transaksinya: pencetakan porsi terjadi pada 23:56 UTC, lalu pencairan pada 00:00 UTC—hanya berselang empat menit. Menurut data Arkham, 1.013.353,61 USDC masuk ke dompet penyerang. The Defiant mengatakan mereka memeriksa saldo kontrak dan tak menemukan satu pun USDC tersisa.
Yang benar-benar ingin saya kritisi adalah kata "berjenjang" itu. Cerita yang dijual tranche kepadamu adalah lapisan senior dan junior, risiko sudah dipisahkan, dan investor konservatif bisa memilih yang lebih aman. Tapi kalau harga porsinya bisa dimanipulasi dengan satu flash loan, apa gunanya dibagi menjadi beberapa lapisan? Kalau penetapan harga aset dasarnya tidak tahan terhadap manipulasi dalam satu blok, lapisan senior yang katanya lebih aman itu tak lebih dari lapisan pertama yang dikuras.
Lalu soal sikap. Sampai tengah hari, masih banyak akun yang menulis "tim belum memberi pernyataan dan belum ada rencana pemulihan". Saat mengajak orang menyimpan dana, mereka paling lantang meneriakkan APY. Begitu terjadi masalah, akun Twitter mereka mendadak sunyi.
Ada juga akun detektif on-chain yang membuat utas panjang, mengklaim telah melacak dana dari deposit KuCoin, menjalankan simulasi terlebih dahulu, baru beraksi, lalu memindahkannya ke Solana lewat CCTP. Label "verified" itu mereka berikan sendiri. Saya tidak bisa memverifikasinya secara independen, jadi anggap saja sebagai petunjuk.
Sebelum menyimpan U di brankas kecil semacam ini demi imbal hasil tahunan, tanyakan dulu: siapa yang menghitung harga porsinya, dan bisakah harga itu digoyahkan oleh satu transaksi? Kalau tak ada jawaban, APY itu sejak awal memang disiapkan untuk orang lain.
#DeFi安全 #Avalanche