Исследователи BlockSec раскрыли подробности flash-атаки на пул LlamaLend

После первоначальных сообщений о взломе контракта Inverse Finance эксперты пояснили, что реальной целью атаки был пул sDOLA–crvUSD на платформе LlamaLend. По данным BlockSec Phalcon, инцидент произошел из-за некорректной настройки оракула самим создателем пула, который использовал спотовую цену sDOLA.convertToShares в качестве исходного значения для расчета.

Атакующий воспользовался этой ошибкой, взяв крупный флеш-кредит, чтобы выкупить sDOLA, а затем повторно застейкать их как «донат», манипулируя ценой через оракул. Такое вмешательство привело к тому, что несколько позиций в пуле LlamaLend опустились ниже порогов ликвидации. Это позволило злоумышленнику заработать на принудительных ликвидациях.

Сумма потерь, по предварительной оценке, составила около $240 тыс. Однако, как уточнили эксперты, контракты Inverse Finance напрямую не пострадали. Важно отметить, что ошибка заключалась именно в настройке оракула, а не в уязвимости смарт-контракта платформы.

Команда LlamaLend была уведомлена о случившемся, а пользователям, участвовавшим в пуле, рекомендуется тщательно проверить свои позиции и при необходимости принять меры для защиты цифровых активов. Это подчеркивает важность внимательного мониторинга источников и управления рисками при работе с DeFi-протоколами.

Эксперты отрасли заявили, что подобные случаи демонстрируют, насколько критически важна корректная интеграция ценовых оракулов для безопасности DeFi. Ошибки в конфигурации могут приводить к значительным финансовым последствиям даже без прямого взлома контрактов. Инцидент также служит напоминанием о необходимости прозрачной и своевременной коммуникации между платформами и аудиторами безопасности.

Источник