" Последний эксперимент от основателя Yearn Finance Андре Кронье заставил многих деген-трейдеров сомневаться в своей природе YOLO после использования хакером срочных кредитов для атаки на контракты Eminence Finance, которые не были официально обнародованы, сообщает Decrypt.
Eminence Finance, игровая экосистема NFT, которая все еще находилась в разработке, была использована хакером, который украл 15 миллионов долларов после того, как трейдеры бросились фармить EMN - токен, предназначенный для поощрения стабильной монеты с нулевой внутренней стоимостью.
«Это единая валюта, а не токен, - прокомментировал Кронье в частной группе. Предназначен только для неспекулятивных покупок в игре».
Без объявления
Официального объявления о запуске на публичном веб-сайте не было. Аккаунт eminence.finance в Твиттере содержал лишь загадочные твиты и ретвиты Андре Кронье, чтобы трейдеры могли найти контракты и проникнуть в таинственный протокол, надеясь попасть на раннем этапе «следующего YFI».
Срок действия контрактов составлял около 3 недель с момента завершения учетной записью Кронье, и они не были должным образом протестированы и не защищены. Это дало одному сообразительному хакеру возможность использовать мгновенный заем для истощения пула всех его средств менее чем через три часа после того, как проект стал вирусным в криптотвиттере.
Серия печальных событий
If you are confused how the hacker managed to drain $EMN contract, here’s the exact mechanics of what happened:
— Bartek Kiepuszewski (@bkiepuszewski) September 29, 2020
Вокруг выпуска Eminence Finance вызвал всплеск активности после того, как Кронье представил и ретвитнул публичный аккаунт в Твиттере, демонстрирующий различные фракции или команды для популярных протоколов DeFi, таких как Chainlink «Marines» и Synthetix «Spartans».
Из этого возникла серия связанных твитов и сообщений о Eminence, в том числе на Medium - там появилась статья о том, как «вручную чеканить последнее творение от создателя YFI - Eminence ($EMN)».
— eminence.finance (@eminencefi) September 29, 2020
Подражание
После подтверждения развертывания с основного адреса Yearn многие быстро начали взаимодействовать с контрактом, внося DAI в чеканку EMN напрямую через контракт до того, как будет доступен внешний интерфейс. Важно подчеркнуть, что это был не просто неаудированный код, как в случае с суши или ям; не было ни информации, ни даже интерфейса. Никто точно не знал, что это за проект и как он работает. Было всего несколько спекулятивных твитов.
Оказалось, что существования основанной на NFT Battle Royale, инкубированной Кронье, было достаточно, чтобы вызвать энтузиазм, поскольку многие слепо вкладывают средства по принципу, для которого придуман специальный термин «aping» или «подражание». В результате толпа трейдеров поспешно вкладывает деньги в непроверенный смарт-контракт.
Взлом
Когда дегены начали собираться в выбранную ими фракцию, хакер смог использовать мгновенный заем, чтобы чеканить EMN на жесткой кривой привязки с целью повышения цены. При этом стоимость каждой отчеканенной EMN постепенно увеличивалась, но уже по кривой, опережающей первую. По мере роста цены хакер сжигал EMN в пользу любого из обернутых токенов - представленных на Eminence популярных токенов DeFi, таких как Aave, - чтобы вызвать значительное падение предложения и резко увеличить цену токена.
Этот пробел позволил хакеру приобретать большие суммы EMN, а затем продавать другие токены, чтобы рекурсивно получать прибыль в DAI.
15 миллионов DAI
В общей сложности в процессе было перекачано почти 15 миллионов DAI, в результате чего практически всем участникам не оставалось ничего, кроме урока смирения. Источник изображения: Banteg
Since we have received 8M DAI, we are working towards distributing them to the people who got rekt. I have finished the first version of the snapshot which uses bonding curve rates of EMN, eCRV, eLINK, eAAVE, eYFI, eSNX at block 10954410. It includes 3656 addresses. pic.twitter.com/dT3WryyGrD
— banteg (@bantg) September 29, 2020
К счастью для пострадавших, хакер любезно вернул 8 миллионов долларов потерянных средств, что дает возможность получить возмещение в размере 50% в соответствии с остатками, снятыми на моментальном снимке блока до взлома.
Теперь многим остается гадать, почему вообще были возвращены какие-либо средства, и знаменует ли этот эксплойт смерть Eminence Finance еще до того, как он начался.
Are we going to question why the hacker sent back half of the funds unasked, or nah?
— Hasu (@hasufl) September 29, 2020
Риск неаудированного кода
Кронье дал понять, что эксперимент не подлежит восстановлению. Несмотря на увлекательную идею, твердые последователи Андре прошли через экстремальное испытание, показывая, что не все неаудированные контракты (вот новость то!) свободны от эксплойтов.
Хотя это, безусловно, не последний эксперимент Кронье, пусть Eminence покажет, что до тех пор, пока не появится официальная публикация на Medium о запуске проекта, с которым связана рок-звезда DeFi, эти контракты не предназначены для игр.
