Проблеми безпеки Децентралізованих фінансів: аналіз інциденту атаки на YFI протокол

У сфері Децентралізовані фінанси безпека завжди була темою, яка викликала великий інтерес, але не отримала належної уваги. Незважаючи на те, що експерти опублікували безліч статей, щоб проаналізувати ризики екосистеми DeFi, відповідні проблеми все ще існують. На фоні постійного зростання інтересу на ринку та розширення обсягів ліквідності здається, що люди ігнорують приховані ризики, які ховаються під цим бурхливим зовнішнім виглядом.

YFI протокол遭受闪电贷攻击

На початку 2021 року колишній зірковий проект DeFi Yearn Finance став жертвою атаки з використанням миттєвих кредитів. Згідно з аналізом безпекових агентств, ця атака була націлена в основному на стратегічний пул DAI Yearn Finance, а зловмисник реалізував арбітраж через серію складних операцій.

Процес атаки приблизно такий:

1. Позичити велику кількість ETH з кількох платформ
2. Використання позиченого ETH для отримання DAI та USDC на певній платформі кредитування
3. Вкласти більшість коштів у пул торгівлі стабільною монетою, контролюючи більшість ліквідності
4. Через коригування пропорції токенів у пулі виникає ціновий дисбаланс
5. Використовуючи цінові дисбаланси, здійснюйте операції в стратегічному пулі Yearn DAI
6. Відновлення балансу пулу стабільних монет
7. Активувати виведення з пулу стратегій Yearn DAI, щоб отримати арбітражний простір
8. Повторіть наведені вище кроки кілька разів, поки не завершите отримання прибутку

Ця серія дій призвела до великих збитків для Yearn Finance.

Джерело проблеми: вразливий ціновий механізм

Основна проблема цього інциденту полягає не в самих闪电贷, а в крихкій ціновій механіці, що існує в DeFi-протоколах. Поєднання між певними протоколами використовує частки різних пулів для визначення ціни, і цей механізм легко піддається маніпуляціям.

Можна порівняти різні протоколи Децентралізованих фінансів з різними "країнами", кожна з яких має свої правила. Розумні "торговці" вивчають відмінності між цими правилами, щоб знайти можливості для арбітражу. Ця поведінка по суті є використанням встановлених правил для отримання вигоди, що важко просто звинуватити в атаках.

Помилки в розробці Децентралізованих фінансів

Нині багато розробників DeFi-протоколів надто зосереджені на швидкості та ефективності, ігноруючи суть блокчейну. Більшість людей обирають прагнення до швидкого розвитку, не бажаючи глибоко вирішувати основні проблеми.

Дизайн біткоїна підкреслює спільну перевірку транзакцій усіма вузлами; ця надлишкова складна система має на меті підвищення "достовірності", а не "доступності". Безпека мережі біткоїна зростає з розширенням потужності обчислень, хоча ефективність обробки не покращується відповідно.

У порівнянні, якщо механізм ціноутворення лише покладається на кілька "достовірних" вузлів або прості частки фондів для прийняття рішень, а користувачі не можуть ефективно їх перевірити, тоді ця ціна позбавлена справжньої основи консенсусу. Такий механізм суперечить децентралізованій суті блокчейну.

Шлях до децентралізованої безпеки

Стикаючись із цими викликами, деякі протоколи шукають більш децентралізовані рішення. Наприклад, деякі протоколи прагнуть створити механізм генерації цін, який не вимагає дозволу і може бути перевірений будь-ким. Цей механізм базується на системі нек cooperative гри, і з ростом кількості учасників якість цінових даних також буде відповідно покращуватися.

У умовах ефективного ринку гра між учасниками з боку покупців, включаючи котировальників, перевірювачів, протокол та взаємодію з вторинним ринком, спільно складає багатовимірну систему неконкурентної гри. Дані цін на блокчейні, що генеруються цією системою, є більш надійними та безпечними.

Дотримуючись децентралізованої сутності блокчейну, завжди слід дотримуватися духу децентралізації, що повинно стати основним принципом розвитку індустрії блокчейну. Лише таким чином можна насправді побудувати безпечну та надійну екосистему Децентралізовані фінанси.