Mais um “cofre de rendimento trancheado” foi esvaziado em duas transações com empréstimo relâmpago. Desta vez, foi o Tranche Vault na Avalanche, ligado à Fence Finance e à Valinor Digital. Segundo a Blockaid, foram cerca de 1,01 milhão de USDC.
O método não tem nada de novo: pegar dinheiro emprestado por meio de um empréstimo relâmpago, emitir cotas de tranche com preço inflacionado e, então, usar essas cotas para resgatar os USDC restantes no cofre. Alguém rastreou as transações: uma emissão de cotas às 23:56 UTC e um resgate às 00:00 UTC, com quatro minutos de intervalo. Segundo os dados da Arkham, 1.013.353,61 USDC foram parar na carteira do invasor. O The Defiant diz que verificou o saldo do contrato e não restou nem um USDC.
O que realmente quero criticar é essa palavra “tranche”. A promessa é que as tranches oferecem prioridade e subordinação, com o risco dividido para que os mais conservadores possam ficar tranquilos. Mas, se o preço das cotas pode ser distorcido por um único empréstimo relâmpago, que tipo de divisão é essa? Se a precificação dos ativos subjacentes não resiste a uma manipulação dentro do mesmo bloco, a chamada tranche prioritária é apenas a primeira a ser esvaziada.
E tem mais: a postura. Até o meio-dia, ainda havia um monte de contas escrevendo “a equipe não se pronunciou, não há plano de recuperação”. Na hora de captar depósitos, o APY é anunciado aos quatro ventos; quando dá problema, o Twitter fica em silêncio.
Uma conta de investigador on-chain publicou um longo fio dizendo que rastreou os fundos desde um depósito na KuCoin, passando por um teste sem movimentação, depois pelo ataque e, por fim, por uma transferência via CCTP para a Solana. Essa é a classificação “verified” deles; não consigo verificar isso de forma independente, então encare como uma pista.
Antes de depositar USDC num cofre pequeno desses para ganhar rendimento anual, pergunte primeiro: quem calcula o preço das cotas? Ele pode ser distorcido por uma única transação? Se não souberem responder, aquele APY provavelmente foi feito para outra pessoa.
#DeFi安全 #Avalanche
O método não tem nada de novo: pegar dinheiro emprestado por meio de um empréstimo relâmpago, emitir cotas de tranche com preço inflacionado e, então, usar essas cotas para resgatar os USDC restantes no cofre. Alguém rastreou as transações: uma emissão de cotas às 23:56 UTC e um resgate às 00:00 UTC, com quatro minutos de intervalo. Segundo os dados da Arkham, 1.013.353,61 USDC foram parar na carteira do invasor. O The Defiant diz que verificou o saldo do contrato e não restou nem um USDC.
O que realmente quero criticar é essa palavra “tranche”. A promessa é que as tranches oferecem prioridade e subordinação, com o risco dividido para que os mais conservadores possam ficar tranquilos. Mas, se o preço das cotas pode ser distorcido por um único empréstimo relâmpago, que tipo de divisão é essa? Se a precificação dos ativos subjacentes não resiste a uma manipulação dentro do mesmo bloco, a chamada tranche prioritária é apenas a primeira a ser esvaziada.
E tem mais: a postura. Até o meio-dia, ainda havia um monte de contas escrevendo “a equipe não se pronunciou, não há plano de recuperação”. Na hora de captar depósitos, o APY é anunciado aos quatro ventos; quando dá problema, o Twitter fica em silêncio.
Uma conta de investigador on-chain publicou um longo fio dizendo que rastreou os fundos desde um depósito na KuCoin, passando por um teste sem movimentação, depois pelo ataque e, por fim, por uma transferência via CCTP para a Solana. Essa é a classificação “verified” deles; não consigo verificar isso de forma independente, então encare como uma pista.
Antes de depositar USDC num cofre pequeno desses para ganhar rendimento anual, pergunte primeiro: quem calcula o preço das cotas? Ele pode ser distorcido por uma única transação? Se não souberem responder, aquele APY provavelmente foi feito para outra pessoa.
#DeFi安全 #Avalanche