Euler Finance遭受 cuộc tấn công cho vay chớp nhoáng，损失近2亿美元

Gần đây, một sự kiện tấn công cho vay chớp nhoáng nghiêm trọng đã gây chấn động giới tiền điện tử. Theo dữ liệu giám sát trên chuỗi, vào ngày 13 tháng 3 năm 2023, dự án Euler Finance đã bị tấn công bởi hacker do một lỗ hổng trong hợp đồng thông minh của nó, gây ra thiệt hại khoảng 197 triệu đô la.

Kẻ tấn công đã lợi dụng lỗ hổng thiếu kiểm tra tính thanh khoản trong hàm donateToReserves của hợp đồng Euler Finance. Bằng cách gọi nhiều lần các chức năng liên quan đến các loại tiền tệ khác nhau, hacker đã thành công trong việc lấy đi một lượng lớn vốn từ dự án này. Cuộc tấn công này liên quan đến 6 loại token, hiện tại số tiền bị đánh cắp vẫn còn trong tài khoản của kẻ tấn công.

Quá trình tấn công đại khái như sau:

1. Hacker đầu tiên vay 30 triệu DAI từ nền tảng Aave để thực hiện khoản vay nhanh.

2. Sau đó, đã triển khai hai hợp đồng: một cho các hoạt động vay mượn, một cho các hoạt động thanh lý.

3. Gửi 20 triệu DAI đã vay vào hợp đồng Euler Protocol, nhận được khoảng 19,5 triệu eDAI.

4. Sử dụng tính năng đòn bẩy 10x của Euler Protocol, vay ra một lượng lớn eDAI và dDAI.

5. Thực hiện các thao tác khéo léo, lặp lại nhiều lần quy trình vay và trả.

6. Cuối cùng gọi hàm donateToReserves có lỗ hổng, quyên góp gấp 10 lần số tiền hoàn lại.

7. Kích hoạt cơ chế thanh lý, nhận được một lượng lớn dDAI và eDAI.

8. Cuối cùng rút gần 39 triệu DAI, sau khi trả khoản vay nhanh lãi ròng khoảng 8,87 triệu DAI.

Bằng cách phân tích mã hợp đồng, các nhà nghiên cứu phát hiện vấn đề nằm ở hàm donateToReserves. So với các hàm quan trọng khác, hàm này thiếu bước checkLiquidity, điều này cho phép người dùng có thể bỏ qua kiểm tra thanh khoản, tạo ra trạng thái có thể bị tịch thu. Bình thường, hàm checkLiquidity sẽ gọi mô-đun RiskManager, đảm bảo rằng Etoken của người dùng luôn lớn hơn Dtoken, nhằm duy trì an toàn cho hệ thống.

Sự kiện này một lần nữa làm nổi bật tầm quan trọng của việc kiểm toán an toàn hợp đồng thông minh. Đối với các dự án cho vay, đặc biệt cần chú ý đến tính an toàn của các khâu quan trọng như hoàn trả vốn, kiểm tra thanh khoản và thanh lý nợ. Các nhà phát triển dự án cần thực hiện kiểm toán an toàn toàn diện trước khi ra mắt để tránh các rủi ro tương tự.

Là một phần của hệ sinh thái tiền điện tử, chúng ta nên rút ra bài học từ sự kiện này. Nó nhắc nhở chúng ta rằng trong thế giới blockchain đang phát triển nhanh chóng, an toàn luôn là ưu tiên hàng đầu. Các nhà phát triển cần thiết kế và triển khai hợp đồng thông minh một cách cẩn thận hơn, và các nhà đầu tư cũng nên cảnh giác hơn với những rủi ro an ninh tiềm ẩn. Chỉ bằng cách nâng cao nhận thức về an toàn và trình độ kỹ thuật của toàn ngành, chúng ta mới có thể xây dựng một hệ thống tài chính phi tập trung mạnh mẽ và đáng tin cậy hơn.