Уязвимость Vper подвергает экосистему DeFi стресс-тестам

Протоколы децентрализованных финансов (DeFi) проходят стресс-тест после того, как в версиях языка программирования Vyper была обнаружена критическая уязвимость, которая привела к краже криптовалют на миллионы долларов 30 июля.

Ряд пулов, использующих Vyper 0.2.15, 0.2.16 и 0.3.0, были взломаны из-за неисправной блокировки повторного входа, нацеленной как минимум на четыре пула ликвидности на протоколе Curve Finance. «Короткий ответ заключается в том, что все, что можно было слить, было слито. Целевые пулы — это aETH/ETH, msETH/ETH, pETH/ETH и CRV/ETH. Все оставшиеся пулы безопасны и не затронуты ошибкой», — сообщила Curve Finance. Раздор.

BlockSec, аудиторская фирма для смарт-контрактов, отметила, что повторный вход потенциально может подвергнуть все пулы с обернутым эфиром (WETH) риску атаки.

https://twitter.com/BlockSecTeam/status/1685742026749300736?ref_src=twsrc%5Etfw

Vyper — это контрактный язык программирования, разработанный для виртуальной машины Ethereum (EVM). Он считается одним из наиболее широко используемых языков программирования Web3, а это означает, что ошибка в трех его версиях может повлиять на несколько других протоколов DeFi.

Атака затронула ряд децентрализованных финансовых проектов: alETH-ETH компании Alchemix сообщает об оттоке средств в размере 13,6 млн долларов, пул pETH-ETH PEGd осушился на 11,4 млн долларов, пул sETH-ETH Metronome был взломан на 1,6 млн долларов и более 32 млн в Curve DAO (CRV).токены на сумму более 22 миллионов долларов были слиты за последние несколько часов. Децентрализованная биржа Ellipsis также сообщила, что небольшое количество стабильных пулов с BNB было взломано с использованием старого компилятора Vyper.

crv/eth pool drained minutes before a whitehack operation :(https://t.co/rhALBzkTEi

— banteg (@bantg) July 30, 2023

Инцидент также негативно повлиял на цену CRV, которая на момент написания статьи упала более чем на 12% и составила 0,64 доллара. Члены сообщества также отметили потенциальный волновой эффект на протокол Aave, поскольку падение цены CRV может вынудить основателя Curve Михаила Егорова ликвидировать кредитную позицию Aave на сумму 70 миллионов долларов.