Еще одно «хранилище с траншами доходности» опустошили за две транзакции с помощью флеш-кредита. На этот раз это Tranche Vault в сети Avalanche, связанное с Fence Finance и Valinor Digital. По данным Blockaid, ущерб составил около 1,01 млн USDC.
Ничего нового: берут деньги во флеш-кредит, выпускают завышенное количество долей транша, а затем используют эти доли, чтобы вывести оставшиеся в хранилище USDC. Кто-то собрал последовательность транзакций: выпуск долей в 23:56 UTC, вывод средств в 00:00 UTC — всего четыре минуты между ними. По данным Arkham, на кошелек атакующего поступило 1,013,353.61 USDC; The Defiant пишет, что проверил баланс контракта и там не осталось ни одного USDC.
Больше всего меня раздражает слово «транш». Вам продают идею приоритетного и младшего траншей: риски распределены, консервативные инвесторы могут спокойно получать свое. Но если цену долей можно исказить одной транзакцией с флеш-кредитом, то что это за распределение по траншам? Если базовая оценка не защищена от манипуляций в рамках одного блока, так называемый приоритетный транш — просто первый, который опустошат.
И еще об отношении команды. К полудню полно аккаунтов писали: «команда молчит, плана восстановления нет». Когда нужно заманить вкладчиков, APY рекламируют громче всех, а когда случается беда — в твиттере тишина.
Еще один ончейн-детектив опубликовал длинный пост: по его словам, он проследил путь средств от депозита на KuCoin — сначала пробный прогон, затем атака, а в конце перевод через CCTP в Solana. Это их собственная пометка «verified»; я не могу проверить информацию независимо, так что воспринимайте ее лишь как зацепку.
Прежде чем класть USDC в подобные небольшие хранилища ради годовой доходности, спросите себя: кто рассчитывает цену доли и можно ли исказить ее одной транзакцией? Если ответа нет, этот APY изначально предназначен кому-то другому.
#DeFi安全 #Avalanche
Ничего нового: берут деньги во флеш-кредит, выпускают завышенное количество долей транша, а затем используют эти доли, чтобы вывести оставшиеся в хранилище USDC. Кто-то собрал последовательность транзакций: выпуск долей в 23:56 UTC, вывод средств в 00:00 UTC — всего четыре минуты между ними. По данным Arkham, на кошелек атакующего поступило 1,013,353.61 USDC; The Defiant пишет, что проверил баланс контракта и там не осталось ни одного USDC.
Больше всего меня раздражает слово «транш». Вам продают идею приоритетного и младшего траншей: риски распределены, консервативные инвесторы могут спокойно получать свое. Но если цену долей можно исказить одной транзакцией с флеш-кредитом, то что это за распределение по траншам? Если базовая оценка не защищена от манипуляций в рамках одного блока, так называемый приоритетный транш — просто первый, который опустошат.
И еще об отношении команды. К полудню полно аккаунтов писали: «команда молчит, плана восстановления нет». Когда нужно заманить вкладчиков, APY рекламируют громче всех, а когда случается беда — в твиттере тишина.
Еще один ончейн-детектив опубликовал длинный пост: по его словам, он проследил путь средств от депозита на KuCoin — сначала пробный прогон, затем атака, а в конце перевод через CCTP в Solana. Это их собственная пометка «verified»; я не могу проверить информацию независимо, так что воспринимайте ее лишь как зацепку.
Прежде чем класть USDC в подобные небольшие хранилища ради годовой доходности, спросите себя: кто рассчитывает цену доли и можно ли исказить ее одной транзакцией? Если ответа нет, этот APY изначально предназначен кому-то другому.
#DeFi安全 #Avalanche