18/04/2022 10:55 read

216

Beanstalk Farms mất 182 triệu đô la trong khai thác quản trị DeFi

Giao thức stablecoin đã chứng kiến hệ thống đề xuất quản trị của chính nó bị khai thác cho phép các tác nhân độc hại trích toàn bộ tài sản thế chấp trị giá 182 triệu đô la của nó.

Giao thức stablecoin dựa trên tín dụng Beanstalk Farms đã mất toàn bộ tài sản thế chấp trị giá 182 triệu đô la do sự cố bảo mật do hai đề xuất quản trị độc ác và một cuộc tấn công cho vay chớp nhoáng gây ra.

Vấn đề đối với giao thức được gieo rắc bởi các đề xuất quản trị đáng ngờ BIP-18 và BIP-19 được ban hành vào ngày 16 tháng 4 bởi kẻ khai thác yêu cầu giao thức quyên góp tiền cho Ukraine. Tuy nhiên, những đề xuất đó có một kẻ lừa đảo độc hại gắn liền với chúng, điều này cuối cùng đã tạo ra lỗ hổng quỹ từ giao thức theo công ty kiểm toán hợp đồng thông minh BlockSec.

Việc phá vỡ bảo mật mới nhất này của giao thức tài chính phi tập trung (DeFi) đã diễn ra vào lúc 1 USD2: 24 giờ tối theo giờ UTC. Vào thời điểm đó, kẻ khai thác đã vay nhanh 1 tỷ USD từ giao thức AAVE (AAVE) có giá trị bằng DAI (DAI), USD Coin (USDC) và Tether (USDT). Họ đã sử dụng những khoản tiền này để tích lũy đủ tài sản để tiếp quản 67% việc quản lý giao thức và phê duyệt các đề xuất của riêng họ.

We’re engaging all efforts to try to move forward. As a decentralized project, we are asking the DeFi community and experts in chain analytics to help us limit the exploiter's ability to withdraw funds via CEXes. If the exploiter is open to a discussion, we are as well. https://t.co/fwceVz6hbi
— Beanstalk Farms (@BeanstalkFarms) April 17, 2022

Một khoản vay nhanh phải được thực hiện và hoàn trả trong một khối duy nhất và thường yêu cầu một số hợp đồng thông minh cùng một lúc để hoàn thành. Trước đây, các khoản vay flash đã được sử dụng để thực hiện các cuộc tấn công hoặc khai thác bảo mật của các giao thức khác. Beanstalk Farms là một nền tảng phát hành stablecoin theo thuật toán phi tập trung trên Ethereum.

Về mặt kỹ thuật, tình huống này không phải là một vụ hack vì các hợp đồng thông minh và quy trình quản trị hoạt động như được thiết kế. Flaws trong thiết kế của họ đã được khai thác, người phát ngôn của dự án Publius đã thừa nhận trong một cuộc họp vào ngày 18 tháng 4 khi anh ấy nói:

Thật không may là cùng một quy trình quản trị đã đưa cây đậu vào vị trí thành công cuối cùng lại bị hủy bỏ.

Công ty phân tích bảo mật blockchain PeckShield đã thông báo cho nhóm Beanstalk qua Twitter vào lúc 12:41 chiều UTC vào ngày 17 tháng 4 rằng có thể có vấn đề với tuyên bố đáng ngại: Xin chào, @beanstalkFarms, bạn có thể muốn xem xét.

Our initial analysis shows the @BeanstalkFarms loss is ~$182m ! Here is the breakdown of stolen assets: 79,238,241 BEAN3CRV-f, 1,637,956 BEANLUSD-f, 36,084,584 BEAN, and 0.54 UNI-V2_WETH_BEAN. https://t.co/8OzPn8F8ot
— PeckShield Inc. (@peckshield) April 17, 2022

Tại thời điểm đó, đã quá muộn. Kẻ khai thác đã kiếm được khoảng 80 triệu đô la Ether (ETH) và Đậu (BEAN) trong khi toàn bộ giao thức mất 182 triệu đô la tổng giá trị vốn hóa (TVL) theo PeckShield. BEAN hiện đang giảm khoảng 83% khi giao dịch ở mức 0,17 đô la theo CoinGecko nhưng đã chạm mức 0,06 đô la khi người khai thác bán tháo Token của họ.

Kẻ khai thác đã đổi BEAN lấy ETH và sau đó gửi tiền tới Tornado Cash để trang trải các bài hát kỹ thuật số của họ. Tuy nhiên, họ cũng đã gửi 250.000 USDC đến ví Ukraine Crypto Donation.

Vào lúc 11:49 tối theo giờ UTC vào ngày 17 tháng 4, Publius đã viết rằng dự án có khả năng bị thua lỗ vì không có vốn đầu tư mạo hiểm hỗ trợ để bù đắp các khoản lỗ, thêm vào đó là Chúng tôi rất vui.

Trong một cuộc họp nhóm và cộng đồng trên kênh Beanstalk Discord vào ngày 18 tháng 4, Publius đã lừa dối ba cá nhân đã phát triển dự án. Họ là Benjamin Weintraub, Brendan Sanderson và Michael Montoya, tất cả đều đã cùng học tại Đại học Chicago và hình thành nên Trang trại Beanstalk.

Montoya nói rằng nhóm đã liên hệ với Trung tâm Tội phạm của Cục Điều tra Liên bang (FBI) và sẽ hoàn toàn hợp tác với họ để truy tìm thủ phạm và thu hồi tiền.

Hợp đồng thông minh giao thức đã bị tạm dừng và tất cả các đặc quyền quản trị đã bị nhóm thu hồi.

Nhóm nghiên cứu đã không trả lời khi Cointelegraph hỏi liệu họ có tin rằng FBI có bất kỳ biện pháp pháp lý nào để giúp họ hay không, nhưng Publius tin rằng đây chắc chắn là một vụ trộm cần được điều tra.

Cộng đồng Beanstalk đã phần lớn ủng hộ đội trong thời gian cố gắng bất chấp việc họ đã có những tổn thất cá nhân to lớn. Tuy nhiên, thành viên cộng đồng Astrabean tin rằng nhóm nên chịu trách nhiệm nhiều hơn về cuộc tấn công thay vì chấp nhận những gì đã xảy ra như một miStake trung thực mà dự án phải tiếp tục. Anh ấy nói rằng tôi muốn các bạn với tư cách là người lãnh đạo phải chịu trách nhiệm về những gì đã xảy ra.

Thành viên cộng đồng CharlieP lặp lại những lo ngại đó về sự tin tưởng vào giao thức. Anh ấy hỏi nhóm Bạn có nói rằng bạn không có trách nhiệm với nỗ lực này không? Nếu tình huống đó xảy ra, chúng ta là ai để tin tưởng rằng điều này sẽ không xảy ra nữa?

Publius trả lời rằng dự án chỉ là một thử nghiệm mã nguồn mở, không phải là một công việc kinh doanh và cả anh và nhóm đều không phải chịu trách nhiệm về những gì đã xảy ra. Anh ấy nói thêm,