ElevateFi Hit By 16K $ Oracle Manipulation در EFI Staking Vault

ElevateFi تقریباً 16000 دلار از دست می‌دهد پس از اینکه مهاجمی ادعا می‌کند قیمت نقدی EFI/DAI مورد استفاده توسط یک صندوق ذخیره‌سازی در Polygon را دستکاری کرده است. موضوع بر روی یک مسیر قیمت‌گذاری خزانه متمرکز بود که به داده‌های خام pricePair.getReserves() از یک جفت به سبک UniswapV2 متکی بود، که می‌توان آن را در یک تراکنش واحد زمانی که نقدینگی به اندازه کافی نازک است و هیچ محافظ اوراکل با وزن زمانی یا خارجی استفاده نمی‌شود، منتقل کرد. این جریان با یک تراکنش StakeEFI آغاز شد که در آن مهاجم ظاهراً از فشار خرید با وام فوری علیه جفت EFI/DAI برای افزایش قیمت نقدی EFI در حین شرط‌بندی استفاده کرد. این اعتبار بستهUsd تحریف شده، به مهاجم اجازه می‌دهد بسته سهامداری با ارزش دلار بزرگ‌تر را دریافت کند و در عین حال توکن‌های EFI کمتری نسبت به مفروضات قیمت‌گذاری عادی خزانه‌ها متعهد شود. پس از انتظار در دوره های مربوطه، مهاجم پس از عادی شدن قیمت، rebase() و pretend() را فراخوانی کرد. تراکنش ادعایی بعدی 6256.533 EFI را از آدرس مخزن آسیب دیده به آدرس گیرنده منتقل کرد. زیان برآورد شده توسط مانیتور حدود 16000 دلار بود، در حالی که ارزش انتقال ادعا در سوابق تراکنش در زمان بررسی نزدیک به 14390 دلار بود. چرا این مسیر اوراکل مخاطره آمیز است این یک ضرر کوچک در مقایسه با اکسپلویت های بزرگتر DeFi بود، اما این الگوی مهم است زیرا نیازی به شکستن شبکه Polygon پایه یا تخلیه هر قراردادی که کاربر رو به رو است، نداشت. نقطه ضعف، فرض قیمت گذاری بود.خزانه ای که نسبت ذخیره AMM زنده را به عنوان یک منبع ارزشیابی قابل اعتماد در نظر می گیرد، اگر مهاجم بتواند به طور موقت قیمت جفت را قبل از اینکه صندوق آن را بخواند، فشار دهد، می تواند فریب بخورد. دستکاری اوراکل قیمت یک ریسک قرارداد هوشمند تکرارشونده در سیستم‌های وام‌دهی، سهام، خزانه، دارایی مصنوعی و سیستم‌های پاداش است، زیرا قرارداد تصمیم‌های حسابداری را از منبع ارزشی می‌گیرد که ممکن است تحت‌تاثیر معاملات، عمق نقدینگی، سفارش یا سرمایه وام فوری قرار گیرد. در این مورد، به نظر می‌رسد که دستکاری ادعایی به جای خود قرارداد توکن EFI، محاسبات اعتباری را هدف قرار داده است. EFI یک توکن اکوسیستم Polygon با حجم کوچک با عمق بازار ردیابی محدود است. CoinGecko فعال ترین بازار ElevateFi را با نام EFI/DAI در Quickswap فهرست می کند، با EFI اخیراً نزدیک به 2.42 دلار، ارزش بازار حدود 2.42 میلیون دلار و حجم 24 ساعته نزدیک به 6817 دلار. نقدینگی ناچیز، قرائت‌های قیمت لحظه‌ای را به ویژه حساس می‌کند، زیرا حتی سوآپ‌های موقت نیز می‌توانند به اندازه‌ای ذخایر را جابه‌جا کنند تا بر سیستم‌هایی که از TWAP، چک نقدینگی یا فیدهای خارجی استفاده نمی‌کنند، تأثیر بگذارد. این حادثه در کنار توقف معاملات مرتبط با Haveno در RetoSwap و سوء استفاده مشکوک پل پروتکل MAP، یک مورد امنیتی دیگر DeFi را به یک هفته شلوغ برای ریسک پروتکل کوچکتر اضافه می کند.