この記事では、プログラミング言語 Vyper の障害によって引き起こされた連続攻撃を整理します。

著者: 呉朔ブロックチェーン

＃＃＃ プロセス

7月30日21時34分、PeckShieldはNFT融資契約JPEGが攻撃された疑いがあることを検知し、21時10分に6,100WETH（約1,145万米ドル相当）以上がアドレス0x94…A6Abに転送されました。 。 Curve Finance によると、JPEG'd は読み取り専用の再入攻撃を受けました。現在、CurveのpETH-ETHプールのpETHの価格は383ドルまで下落しています。 pETH は JPEG'd によって発行された ETH デリバティブ資産です。 JPEGは、pETH-ETHカーブプールが攻撃され、NFTの借り入れを可能にする金庫契約は依然として安全で安定しており、NFTと財務資産は影響を受けないとツイートした。

22:50 msETH-ETH が攻撃されました。

23:34 alETH-ETH が攻撃されました。

7月31日0時44分、イーサリアムプログラミング言語Vyperは、Vyperバージョン0.2.15、0.2.16、0.3.0のリエントリーロックが無効であるとツイートした。

0:45 Curveの公式Twitter投稿は、リエントリーロックの欠陥により、Vyper 0.2.15を使用する多くのステーブルコインプール（alETH/msETH/pETH）が攻撃されたが、他のプールは安全だったと述べた。

0:57 Paidun の統計はこれによって影響を受け、DeFi 貸付契約 Alchemix、NFT 貸付契約 JPEG'd、DeFi 合成資産契約 MetronomeDAO、クロスチェーン ブリッジ deBridge、および Curve メカニズムを使用した BNB チェーン上の DEX プロジェクト Ellipsis が影響を受けました。累積損失は2,676万米ドル以上。

2:46 Metronome は、予防措置として Metronome メインネット機能を停止したとの文書を発表しました。

3:08 CRV-ETH が攻撃され、チェーンの最低 CRV は約 0.08 に低下しましたが、AAVE の価格はチェーンリンクから取得されたため、後者には異常な価格が反映されていなかったため、Curve 創設者 Michael Egorov の AAVE におけるポジション清算されなかった。

@Super4DeFiによると、この期間中に一部の裁定者が0.1ETHで600アルテス、4ETHで1200アルテスを購入したとのことで、アルケミックスは正式に声明を発表し、アルETH-ETHプールは5000ETHを失い、現在のアルテス=0.7ETHとなったと発表した。 OlympusDAOはfraxBPから離脱し、国庫ステーブルコインを1800枚のDAIに変換してDSRに預け、残りの700万USDCもDAIと交換できるように準備した。

7時26分、Paidunはセキュリティインシデントによる損失が5,195万米ドルを超えたと再び計算した。

7:50 CRV/ETH プール Mev Bot デプロイヤー c0ffeebabe.eth は、Curve Finance デプロイヤーに 2,879.54 ETH (約 539 万ドル相当) を返しました。

9時37分、韓国最大手の取引所アップビットは、カーブのステーブルコインプールの一部に対する攻撃により、CRVが大きく変動し、カーブ（CRV）の入出金サービスを停止したと発表した。

その他の効果

defillama のデータによると、Curve Finance TVL は 24 時間で 43.6% 減少して 18 億 4,000 万米ドルとなり、Convex Finance TVL は 24 時間で 48.5% 減少して 149 億米ドルとなりました。

Aave Ethereum v2 バージョンでは、CRV 借用機能が無効になっています (おそらく、トレーダーが Curve の脆弱性を利用してパニックを起こし、借用した CRV の悪意のある空売りが連続清算を促すことを防ぐためです)。 Aaveガバナンスによって可決された提案AIP-125によると、一部の緊急事態に直面した場合、協定は特定の資産の借入機能を禁止することができます。現在、Aave v2 には 3 億を超える CRV の供給があります (CRV 創設者 Michwill の供給による約 95%) が、約 3,500 万の CRV のみが貸し出されています。

現在、AaveのUSDC、USDT、DAIなどの原資産の預貸APYは大幅に増加しており、現在のUSDCの預貸APYは依然として20%を超え、USDTは25%を超えています。 Curve ハッカー (0xb1...c148) が 460 万米ドル相当の 7,193,402 CRV の利益を得て以来、ユーザーは依然として Curve 創設者 Michwill の巨額の CRV 清算と連鎖反応 (チェーン上の CRV は一時 0.08 ドルまで下落しました) を懸念しています。ただし、Chainlink のオラクルは含まれていなかったため、清算は引き起こされませんでした)。

現在、Michwill は Aave v2 で 293,020,675 個の CRV 担保 (1 億 8,700 万ドル) と 59,674,100 USDT 負債を抱えており、清算ラインは約 0.37 ドルです。Fraxlend は 71,107,195 個の CRV 担保 (4 億 4,546 万ドル) と 21,337,989 FRAX 負債 (21 億 3,000 万ドル) を有し、清算期限は 63 ,404,437 CRV 担保 ( 3,190万ドル）とアブラカダブラの18,787,110 MIM負債、清算ライン〜0.39ドル、インバースの25,128,033 CRV担保（1,600万ドル）と7,689,209 DOLA負債、清算ライン〜0.4ドル。過去 6 時間で、ミクウィルは借金の一部を次々に返済しました。

SlowMist @IM_23pds は、Vyper の公式ドキュメントで推奨されているバージョンは実際には欠陥のあるバージョンであると指摘し、Cosine は、スマート コントラクト言語層のバグにより、いくつかの有名なプロジェクトのリエントリ ロック防御が失敗する原因になっていると指摘しました。ホワイトハッカーと MEV ボットが暴走し、あらゆる種類のリエントリー操作とフロントランニングが資金を奪いました。私が最も恐れているのは、この種のベース レイヤの脆弱性ですが、幸いなことに、今回問題があるのは Solidity ではなく、あまり人気のない Vyper です。さらに言えば、それは EVM やもっと根本的な層の問題ではありません。