Niedawny atak na @CurveFinance (z stratą) i @InverseFinance (bez straty) to atak manipulacyjny na cenę. Przyczyna: mechanizm likwidacji Curve Lend jest niekompatybilny z atomowo zmiennymi oraklami. Proces ataku: (1) atakujący miękko likwiduje zabezpieczenia wszystkich użytkowników. Zmusza ich do "sprzedaży" zabezpieczeń na crvUSD. (2) Atakujący wpłaca do puli sDOLA, aby wpłynąć na cenę orakla. (3) Twarda likwidacja wszystkich użytkowników, którzy zostali miękko zlikwidowani. Dług użytkowników w crvUSD jest spłacany przez ich zabezpieczenia w crvUSD, a reszta trafia do likwidatora (atakującego). (4) wpłacenie uzyskanych zabezpieczeń sDOLA do curveLend i pożyczka crvUSD (na spłatę flashloanu). Dlaczego ten atak miał miejsce? Po pierwsze, curve Lend ma "miękką likwidację" i "twardą likwidację" (zakładając, że znasz już podstawowe tło). AMM miękkiej likwidacji opiera się na oraklu, a nie na krzywej. Gdy cena zmienia się znacznie atomowo, utrata nieprzemienna jest natychmiast realizowana. Nawet gdy ostateczna cena zabezpieczenia jest wyższa niż wcześniej, użytkownik nadal zostaje zlikwidowany (z powodu utraty nieprzemiennej, krok 1). Podczas gdy inni mogą wskazywać, że to problem z darowizną sDOLA, chciałbym powiedzieć, że w większości przypadków nie jest to problem, to tylko źle się kończy w połączeniu z likwidacją. Ponadto, rolnicy $sDOLA cieszą się soczystym nocnym zyskiem na poziomie 10%!

Wygląda na to, że portfel właściciela @Kondux_KNDX właśnie został skompromitowany, delegując do złośliwej umowy kontraktowej EIP-7702. Kontrakt skarbcowy protokołu został opróżniony o wartości ~100k w tokenach $KNDX i ~6k w ETH. Teraz skompromitowany właściciel nadal ma uprawnienia do kontrolowania kontraktu NFT (0xc410f83c9b444d72799f83a45a4b5b2fe979e2ee), więc proszę jak najszybciej cofnąć uprawnienia. skompromitowany właściciel: 0x41BC231d1e2eB583C24cee022A6CBCE5168c9FD2 kontrakt skarbcowy, który stracił pieniądze: 0xaD2E62E90C63D5c2b905C3F709cC3045AecDAa1E --- To jest tylko moja wstępna analiza i mogę popełnić błędy.

Uwaga! Wygląda na to, że @iotex_io cierpi z powodu kompromitacji klucza prywatnego. Napastnik uzyskał dostęp do właściciela mostu i wyemitował ogromną ilość tokenów IOTX. Napastnik obecnie przenosi wyemitowane IOTX na łańcuch iotex i wpłaca je do @binance w celu sprzedaży.