Euler Finance sofreu ataque de empréstimo flash, com perdas de quase 200 milhões de dólares.

No dia 13 de março de 2023, o projeto Euler Finance sofreu um ataque de empréstimo flash devido a uma vulnerabilidade no contrato inteligente, resultando em uma perda de cerca de 197 milhões de dólares. Este ataque envolveu 6 tipos de tokens, e o atacante explorou uma falha em uma função do contrato do projeto para realizar o ataque.

Análise do processo de ataque

O atacante primeiro obteve um empréstimo flash de 30 milhões de DAI de uma plataforma de empréstimos, e em seguida, implementou dois contratos para operações de empréstimo e liquidação. O ataque é dividido nos seguintes passos:

1. Depositar 20 milhões de DAI no contrato do Euler Protocol, obtendo 19,5 milhões de eDAI.

2. Utilizando a funcionalidade de 10x de alavancagem do Euler Protocol, emprestar 195,6 milhões de eDAI e 200 milhões de dDAI.

3. Usar os restantes 10 milhões de DAI para reembolsar parte da dívida, destruir o dDAI correspondente e continuar a emprestar mais eDAI e dDAI.

4. Doar 100 milhões de eDAI através da função donateToReserves, seguido de operações de liquidação, obtendo 310 milhões de dDAI e 250 milhões de eDAI.

5. Por fim, retirei 38,9 milhões de DAI e, após reembolsar o empréstimo flash, obtive um lucro de cerca de 8,87 milhões de DAI.

Causa da vulnerabilidade

A principal razão pela qual o ataque teve sucesso foi a falta de uma verificação de liquidez necessária na função donateToReserves do contrato Euler Finance. Ao contrário de outras funções-chave, como mint, a função donateToReserves não chama checkLiquidity para validar a liquidez do usuário.

Normalmente, a função checkLiquidity chama o módulo RiskManager para garantir que a quantidade de eTokens do usuário seja maior do que a quantidade de dTokens. Devido à falta desse passo crítico, o atacante conseguiu manipular o estado da sua conta, colocando-a em um estado que poderia ser liquidado, obtendo assim ganhos indevidos.

Sugestões de Segurança

Este incidente destaca novamente a importância da auditoria de segurança de contratos inteligentes. Para projetos de finanças descentralizadas (DeFi), especialmente plataformas que envolvem funcionalidades de empréstimo, é necessário prestar especial atenção aos seguintes aspectos:

1. A integralidade do mecanismo de reembolso de fundos
2. Abrangência da detecção de liquidez
3. Segurança do processo de liquidação de dívidas

A equipe do projeto deve realizar uma auditoria de segurança abrangente antes da implementação do contrato, garantindo a segurança e a interoperabilidade de cada módulo funcional. Ao mesmo tempo, a monitorização contínua da segurança e a correção rápida de vulnerabilidades também são fundamentais para garantir a operação estável do projeto a longo prazo.