Edel Financeが担保価格の不正操作で被害、約35万ドル流出
セキュリティ研究者によると、攻撃者はERC4626保管庫とwGOOGLx担保評価に関連する価格設定を操作し、フラッシュローンを用いたドネーション攻撃によってアーベのプールとプロトコル準備金から資金を借り入れて流出させた。
AAVE
要約
Edel Financeは、担保価格の算定方法を操作する攻撃により約35万ドルの被害を受けた。CertiK Alertによると、脆弱な仕組みではwGOOGLx担保の価格設定がGOOGLx残高に連動していた。SlowMistは、プロトコルの価格ソースが、totalAssets()が基礎資産残高に依存しているにもかかわらず、latestAnswer()とconvertToAssets()を通じてERC4626保管庫を参照していたと説明した。SlowMistによれば、この設計により、オラクル値をゆがめて担保価値を水増しし、攻撃者が資金を借り入れてアーベのプールとプロトコル準備金を流出させるフラッシュローン支援型ドネーション攻撃が可能になった。初期の報告では損失額は約20万4000ドルとされていた。
用語解説
- ERC4626保管庫: 利回りを生む資産をトークン化する保管庫の標準であり、その会計処理や資産変換機能が担保価値の評価に影響を及ぼし得る。
- オラクル: 担保評価などの機能のために、スマートコントラクトが価格やその他の外部値を取得するためのデータフィード。
- フラッシュローン支援型ドネーション攻撃: 一時的に借りた流動性と資産移転を利用し、単一トランザクション内でオンチェーンの会計や価格入力をゆがめるエクスプロイト。