Атака на протокол Edel: Как цифровые обеспечения рушатся при неизменных ценах на акции?

Децентрализованный протокол кредитования в сфере DeFi, Edel, объявил об эксплойте на 403.000 долларов, произошедшем в слое, где токенизированные акции использовались в качестве обеспечения. Согласно заявлению протокола, ни один вкладчик не пострадает от этого убытка, и команда возьмет на себя образовавшийся «плохой долг» и восстановит затронутые балансы один к одному. Кроме того, было заявлено, что для предотвращения повторения такой уязвимости архитектура oracle протокола будет перестроена для второй версии. Руководство Edel гарантировало, что возьмет на себя необходимые финансовые обязательства, чтобы инцидент не нанес вреда средствам пользователей.

Основной механизм атаки заключался в манипуляции обменным курсом между wGOOGLx (обернутой версией токенизированной акции Google) и токеном GOOGLx, который его обеспечивает. Согласно заявлению Edel, эта манипуляция раздула залоговую стоимость wGOOGLx примерно в 78 раз по сравнению с его реальной стоимостью, что нарушило баланс системы. Анализ, проведенный командой SlowMist, показал, что проблема коренится в источнике цены Edel, и система использует метод `latestAnswer()` для возврата коэффициента `convertToAssets()` хранилища в стиле ERC-4626. Злоумышленник мог манипулировать этим коэффициентом преобразования, получив достаточный контроль над потоком, и поскольку лента цен Edel считывала эти данные напрямую, возникла уязвимость безопасности.

Компания безопасности CertiK, проанализировавшая инцидент со стороны кредитования, отметила, что злоумышленник манипулировал ценой обеспечения wGOOGLx через механизм, отслеживающий баланс токена GOOGLx, а затем брал заем на раздутую сумму. Команда GoPlus выяснила, что злоумышленник использовал flash loan (мгновенный кредит) для этой операции и неоднократно предоставлял обеспечение и брал долг, чтобы нарушить коэффициент конвертации wGOOGLx/GOOGLx. Благодаря этой раздутой стоимости обеспечения злоумышленник смог присвоить реальные активы протокола на сумму 384.215 USDC, включая обернутые позиции, такие как SPYx, QQQx, MSTRx, NVDAx и TSLAx.

Различные фирмы безопасности назвали разные цифры regarding стоимости инцидента; Cyvers оценила убыток примерно в 353.000 долларов, GoPlus — убыток в 403.000 долларов и прибыль злоумышленника в 305.000 долларов, а CertiK измерила объем уничтоженных средств в 204.000 долларов. Считается, что эта разница в цифрах обусловлена тем, что каждая компания измеряет разные метрики, такие как плохой долг, валовой убыток и чистая прибыль злоумышленника, и зависит от того, как рассчитывается финансовый масштаб инцидента. Критический сбой произошел в обменном курсе между обернутым токеном и его базовым обеспечением, и рынок кредитования Edel оценил эту связь так, будто она была стабильной. Было подчеркнуто, что колебания цены акции Alphabet не спровоцировали эту эксплуатацию, которая была исключительно технической манипуляцией.

Общие данные рынка, согласно RWA.xyz, показывают, что бриллиантовая стоимость токенизированных акций составляет около 1,7 миллиарда долларов, а рост за последние 30 дней составил 2,17%. Ежемесячный объем переводов находится на уровне 8,92 миллиарда долларов, а общее количество пользователей превысило 396.000, что демонстрирует масштаб этого сектора. Платформы, такие как xStocks, листят более 100 акций и ETF на более чем 50 интегрированных платформах, а протоколы, подобные Kamino, выделяются как одни из первых крупных платформ кредитования, принимающих токенизированные акции в качестве обеспечения. В связи с тем, что Robinhood также планирует выпустить токены акций и ETF для клиентов в ЕС в 2025 году, возможность токенизированных акций двигаться и устанавливать связи, подобные другим крипто-активам, преподносится как преимущество. Однако с инцидентом Edel этот факт еще раз напомнил рынку, что когда эти активы начинают вести себя как крипто, они могут ломаться и как крипто.