Flash-кредит возможен только на рынке криптовалют, любой желающий получает средства с условием вернуть их до момента отправки блока, содержащего выданную кредитную транзакцию, на блокчейн.
Кредитор пользуется особенностью блокчейна, позволяющей отменить любой перевод из кошелька, пока не присоединено минимум 3-х блоков. Однако хакерам хватает этого короткого промежутка времени, чтобы проводить атаку ликвидностью на DeFi-платформы.
Смарт-контракт Value DeFi получил два flash-кредита хакера из Aave 80 000 ETH и $116 млн займа из Uniswap. Собранные $152 млн хакер потратил на серию обменов между стаблкоинами DAI, USDC и USDT.
Теоретически, курс стабильных токенов должен быть равен $1, но на практике действия хакера «взломали» ценовые оракулы. Злоумышленник использовал часть кредита для манипуляций котировками стаблкоинов на протоколе Curve, откуда смарт-контракт Value DeFi брал значения котировок.
За короткое время использования флеш-кредитов, хакеру удалось заработать $6 млн на арбитражных операциях внутри смарт-контракта Value DeFi. За эти ценовые перекосы заплатили клиенты сервиса. Курс токена VALUE, потерял 26% стоимости – репутация проекта упала до нуля.
Рис
Value DeFi пока не опубликовали полный отчет об атаке, но изучение ее следов на блокчейне показывает идентичность действий со взломом Harvest Finance. Платформа потеряла подобным образом на прошлой неделе $19,8, из-за арбитражного фишинга и пампов на Curve. Единственное различие – два кредита, которые увеличили таран ликвидностью протокола Value DeFi