RSS Блог "След бит"
Подписаться
Анализ взлома Balancer и рекомендации для экосистемы DeFi
Недавняя атака на Balancer v2, приведшая к убыткам более чем на 100 миллионов долларов, была вызвана давней ошибкой округления арифметических операций. Изначально такие проблемы не считались значительными угрозами безопасности блокчейна из-за другого ландшафта угроз. Однако, по мере того как более простые векторы атак становятся редкими, изощренные злоумышленники теперь нацеливаются на тонкие арифметические крайние случаи в протоколах DeFi. Этот инцидент подчеркивает критическую необходимость всестороннего документирования инвариантов и тщательного тестирования для выявления и предотвращения подобных уязвимостей.
Эксплуатируемая уязвимость представляла собой ошибку направления округления в Composable Stable Pools Balancer v2. Trail of Bits ранее выявляла аналогичные проблемы округления во время аудитов в 2021 году и рекомендовала усиленное фаззинг-тестирование. В то время полный эксплуатируемый эффект этих проблем потери точности было трудно однозначно оценить. Эволюция экосистемы блокчейна привела к смещению от в основном атак на контроль доступа или компрометацию ключей к более сложным эксплойтам, специфичным для DeFi, таким как манипулирование оракулами и ошибки округления.
В 2023 году проблемы округления привели к значительным атакам на такие протоколы, как Hundred Finance и Sonne Finance, что подчеркивает их растущую распространенность. Собственные рейтинги безопасности Trail of Bits теперь классифицируют кодовые базы без надежных стратегий округления как "Слабые" по арифметической зрелости. Для предотвращения будущих эксплойтов протоколы DeFi должны тщательно документировать все инварианты, связанные с потерей точности и направлением округления, выходя за рамки простых правил, таких как "округление должно быть в пользу протокола".
Эта документация затем должна лечь в основу комплексных наборов модульного, интеграционного и фаззинг-тестирования для достижения 100% покрытия. Формальная верификация может дополнительно дополнить фаззинг, предоставляя дополнительные гарантии. Инцидент подчеркивает четыре ключевых урока для экосистемы DeFi: критическую важность математической точности, необходимость поддержания и обновления наборов фаззинг-тестирования с учетом текущей информации об угрозах, разработку надежных систем мониторинга и оповещения, а также внедрение вторичных мер контроля для смягчения последствий потенциальных эксплойтов.
