I DeFi Degens duramente colpiti dall'Exploit di Eminence saranno parzialmente risarciti

Tutto è iniziato con un paio di retweet.

Il 28 settembre, Andrew Cronje, il capo di Yearn Finanza, ha ritwittato i progetti grafici per un nuovo progetto chiamato Eminence, così descritto di Cronje come protocollo Finanza decentralizzata (DeFi) per un “multiverso di gioco”. Il gioco è presumibilmenteuno spin-off di un gioco di carte collezionabili Kickstarter del 2016 chiamato Eminence: Xander’s Tales e potrebbe incorporare token non fungibili (NFT).

I retweet includevano disegni grafici delle parole "Spartan" e "Marine" (riferimenti giocosi ai rispettivi soprannomi dati alle fanbase di Synthetix e Chainlink ) ed erano un "teaser artistico" pensato per "mostrare tutti i diversi clan nel gioco", secondo Cronje.

Cronje premette "Invia" sul tweet e andò a letto. Quando si svegliò, scoprì che il tweet era apparentemente un segnale sufficiente per gli utenti DeFi per immettere 15 milioni di $ di DAI nel protocollo vecchio di giorni che, mentre era sulla mainnet di Ethereum, era ancora in fase di test alpha da parte di Cronje e del suo team. Eminence T aveva nemmeno un sito Web da usare come front-end per il trading; i primi utenti invece scambiavano token direttamente con gli smart contract di Eminence.

La stessa notte, ONE utente ha sfruttato il codice di Eminence e ha prosciugato i 15 milioni di $. Poi, lo stesso aggressore ha restituito circa 8 milioni di $ in DAIa uno smart contract Yearn controllato da Cronje.

Ora, a nemmeno 72 ore dall'attacco, agli utenti interessati è stata restituita una parte delle loro perdite.

Il fiasco e il successivo salvataggio non sono i primi del loro genere nella DeFi. E questo solleva la domanda: la comunità DeFi Imparare dai propri errori?

Spiegazione dell'"hacking" di Eminence

L'exploit in sé, che non era nemmeno un hack, era abbastanza semplice.

I token EMN,generato da Yearn Deploy smart contract, inizialmente sono stati distribuiti tramite una bonding curve, un nuovo schema di distribuzione dei token utilizzato da una manciata di prodotti DeFi. Queste bonding curve sono smart contract che "scambiano" token con gli utenti finali, erogandone ONE in cambio di un altro.

Per Eminence, gli utenti depositerebbero DAI nello smart contract e riceverebbero EMN in cambio. Se l'EMN viene inviato allo smart contract, viene bruciato e l'utente riceve DAI in cambio.

Potresti anche scambiare EMN con altri cinque token (eAAVE, eLINK, eYFI, eSNX ed eCRV, tutte versioni Eminence wrapper dei token più popolari con gli stessi ticker). Così facendo bruceresti l'EMN depositato. Al contrario, se depositi questi token nei rispettivi contratti di curva di legame, vengono bruciati e ricevi EMN appena coniati.

Per sfruttare questi contratti, l'attaccante ha ottenuto un prestito flash per 15 milioni di DAI da Uniswap e lo ha utilizzato per acquistare EMN. Ha quindi scambiato e bruciato metà di questo EMN per eAAVE, facendo salire il prezzo di EMN. Da qui, ha scambiato il resto del suo EMN per DAI, ha scambiato il suo eAAVE per coniare più EMN e infine ha scambiato questo EMN per DAI.

Nel momento in cui l'attaccante ha compiuto queste mosse, qualcuno aveva già schierato l'EMNcoppie di trading su Uniswap.

Questo processo era ripetuto tre volte per far guadagnare all'hacker 15.015.533 DAI. Un attacco simile che utilizza un prestito flashè stato eseguito contro il protocollo bZx a febbraio.

La risposta di Yearn Finance e la ridistribuzione dei token

Sorprendentemente, dopo tutti questi sforzi, l'attaccante ha cambiato leggermente idea: ha trasferito 8 milioni di dollari in DAI a un contratto Yearn Finanza , che Cronje ha prontamente inviato a un multi-sig Yearn.

Una manciata di sviluppatori, ONE dei quali lavora su Yearn, ha escogitato un modo per distribuire il DAI agli utenti colpiti dal crollo del prezzo di EMN attraverso il pavimento a seguito dell'exploit. Le riparazioni denominate in DAI vengono ora distribuite agli utenti che commerciano per EMN dal contratto di curva di legame e Uniswap.

"Ricevere [i token DAI ] è stato come ricevere in dono una bomba a orologeria", ha detto banteg, uno sviluppatore CORE di Yearn, a CoinDesk. Ha aggiunto che il team ha lavorato velocemente per distribuire i fondi, per evitare che gli utenti interessati diventassero irrequieti.

Banteg ritiene che la maggior parte degli utenti interessati fosse "nel giro" poiché metà della restituzione è stata richiesta entro 19 minuti dal lancio del contratto di distribuzione. Solo $338.000 DAI devono ancora essere richiesti, secondo i dati che Banteg ha condiviso con CoinDesk.

Al di là del cattivo comportamento dell’aggressore, il fiasco è stato aggravato da due forze trainanti: la fiducia e l’avidità.

Nei suoi tweet, Cronje non ha mai detto che il protocollo Eminence era pronto. T ha nemmeno menzionato a cosa servisse il protocollo. Ma un singolo retweet del tizio dietro Yearn, quell'unicorno DeFi che quest'anno ha visto il suo prezzo salire da 31 a oltre 43.000 $, è stato sufficiente perché i trader si riversassero sul token di Eminence.

Desiderando un altro moonshot, gli intrepidi utenti di Eminence hanno iniziato a interagire con il protocollo prima che Cronje desse qualsiasi segnale di essere pronto per gli investitori. Ha persino twittato delle avvertenze prima di questo incidente, in cui affermava che chiunque usasse i suoi protocolli avrebbe dovuto procedere con cautela.

Da allora, Cronje ha dichiarato su Twitter le sue intenzioni di continuare il suo lavoro su Eminence, aggiungendo di avere circa 100 contratti da testare. Ha anche messo in guardia i fedeli della DeFi di "attendere annunci ufficiali" prima di utilizzarli.

Tuttavia, alcuni dei trader colpiti, sconvolti dalle perdite, T erano pronti a lasciar andare Cronje.

"Perché mettere codice incompiuto sulla rete principale per essere testato?" ONE utente è intervenuto"Il contratto avrebbe dovuto essere su testnet."

Altri, come Tom Shaughnessy di Delphi Digital,difesoCronje, affermando che “non è colpa [sua] se le persone degenerano nel [suo] lavoro prima che sia finito”.

Le lezioni DeFi sono state apprese a fatica o duramente?

Infatti, i cosiddetti DeFi degenshanno la reputazione di "scimmiottare" i contratti intelligenti alla ricerca di guadagni prima che siano stati attentamente esaminati. I traderdepositato diverse centinaia di milioni valore di token nel protocollo di yield farming Yam Finanza ad agosto, ad esempio, giorni prima di un bugnel suo codice non verificato ha fatto crollare il prezzo del token.

Più di recente, i trader hanno depositato così tanti token nel contratto Sushiswap, allora non verificato, che il suo volume ha superato Uniswap. Giorni dopo, Il creatore di SushiSwap ha ceduto la sua quota di sviluppatore di SUSHIgettoni per 13 milioni di dollari inETH,solo per restituire la somma in ETH alla tesoreria Sushiswap dopo un momento di colpa.

Con questo exploit di Eminence e la restituzione sommaria ora nei libri, i trader DeFi hanno un altro motivo per essere diffidenti nei confronti dei protocolli non verificati. Ma con il rimborso che lenisce in qualche modo le loro perdite, forse questa lezione potrebbe essere dimenticata quando arriverà la prossima "grande novità".