Уязвимость Vyper подвергает экосистему DeFi стресс-тестам

Уязвимость Vyper в DeFi экосистеме подвергается стресс-тестам

Протоколы децентрализованной финансовой (DeFi) проходят стресс-тестирование после обнаружения критической уязвимости в версиях языка программирования Vyper, что привело к краже миллионов долларов криптовалюты 30 июля.

Несколько пулов, использующих Vyper 0.2.15, 0.2.16 и 0.3.0, были атакованы из-за неправильной работы блокировки рекурсивных вызовов, целью которой стали по крайней мере четыре ликвидности на протоколе Curve Finance. “Краткий ответ состоит в том, что все, что можно было вытянуть, было вытянуто. Целевые пулы – aETH/ETH, msETH/ETH, pETH/ETH и CRV/ETH. Все остальные пулы безопасны и не пострадали от ошибки”, – сообщил Curve Finance в Discord.

BlockSec, аудитор смарт-контрактов, отметил, что рекурсивные вызовы могут подвергнуть риску все пулы с обернутым Эфиром (WETH).

Пожалуйста, обратите внимание, что эта проблема рекурсивных вызовов связана с использованием ‘use_eth’, что потенциально может подвергнуть риску пулы, связанные с WETH! @CurveFinance, пожалуйста, свяжитесь с нами в ЛС, если вам нужна помощь. https://t.co/vjc1RRce7w pic.twitter.com/Wz8DXJZK7Y

• Эксплуатация Curve Finance ставит под угрозу криптовалюту на сумму более 100 миллионов долларов; CRV токен падает в цене
• Пулы Curve Finance были эксплуатированы на сумму более $24 млн из-за уязвимости рекурсивного входа
• Рыночная капитализация Tether (USDT) достигает нового пика, приближаясь к отметке в 84 миллиарда долларов

— BlockSec (@BlockSecTeam) 30 июля 2023 года

Vyper – язык программирования контрактов, разработанный для Ethereum Virtual Machine (EVM). Он считается одним из наиболее широко используемых языков программирования Web3, что означает, что ошибка в трех его версиях может повлиять на несколько других протоколов.

Атака затронула ряд проектов децентрализованной финансовой сферы: alETH-ETH от Alchemix сообщил о потоках оттока в размере 13,6 миллиона долларов, пул pETH-ETH от PEGd был истощен на 11,4 миллиона долларов, пул sETH-ETH от Metronome был взломан на 1,6 миллиона долларов, а пул CRV DAO (CRV) был истощен на более чем 32 миллиона токенов стоимостью более 22 миллионов долларов за последние несколько часов. Децентрализованная биржа Ellipsis также сообщила, что небольшое количество стабильных пулов с BNB были атакованы с использованием старого компилятора Vyper.

пул crv/eth был истощен минуты до операции по взлому :(https://t.co/rhALBzkTEi

— banteg (@bantg) 30 июля 2023 года

Инцидент также отрицательно сказался на цене CRV, которая на момент написания статьи снизилась более чем на 12% до $0,64. Участники сообщества также отметили потенциальное реактивное воздействие на протокол Aave, так как падающая цена CRV может заставить основателя Curve Майкла Егорова ликвидировать позицию займа на сумму $70 миллионов на Aave.

Журнал: Следует ли криптопроектам вести переговоры с хакерами? Вероятно

We will continue to update BiLee; if you have any questions or suggestions, please contact us!