Використання інерції: дворічна вразливість ERC-4626 знову атакує DeFi

Протокол лендінгу на Ethereum, Inertia Finance, став жертвою серйозного експлойту, який експлуатував відому вразливість в стандарті ERC-4626 — широко використовуваному в DeFi для управління токенізованими активами. Атака дозволила зловмисникам маніпулювати цінами застав roETH перед тим, як вивести кошти з п’яти ринків позики, нагадуючи, що вразливості в smart-контрактах можуть існувати роками після їх виявлення. Ця подія підкреслює системні ризики, пов’язані з використанням застарілих або неправильно реалізованих стандартів, незважаючи на їх широке поширення. Що сталося Зловмисники експлуатували слабкість у реалізації ERC-4626 в Inertia Finance, що дозволило недооцінити вартість застав перед тим, як вивести кошти, що перевищували їх справжню вартість. П’ятеро ринків позики стали мішенями, що призвело до виведення декількох мільйонів доларів. Хоча точна сума втрачених коштів не була офіційно оголошена Inertia, неофіційні оцінки вказують на діапазон від 5 до 10 мільйонів доларів. Протокол негайно призупинив операції та розпочав розслідування разом із фахівцями у галузі кібербезпеки. Жодної компенсації для жертв ще не оголошено, але ведуться переговори з страховими компаніями DeFi. Чому цей експлойт є значущим Вразливість ERC-4626, виявлена ще у 2023 році, вже раніше експлуатувалася в інших протоколах, таких як Yearn Finance або Rari Capital. Проте цей стандарт продовжує широко використовуватися в екосистемі DeFi, особливо для токенів, таких як yTokens або stETH. Зловмисники скористалися поганою перевіркою ціни в функціях депозиту та вилучення, ризик, який добре документований, але часто недооцінюється. Ця подія спричинила падіння на 15 % вартості родючого токена Inertia (якщо він існує) та зниження ліквідності на ринках позики Ethereum. В цілому, це може призвести до зростання страхових премій для протоколів, що використовують ERC-4626, збільшуючи їхні операційні витрати. Системні ризики посилюються через відсутність прозорості: Inertia не розкрила точну суму виведених коштів, ускладнюючи оцінку ризиків для інвесторів. Спільнота DeFi зараз вимагає проведення системних аудитів протоколів, що використовують ERC-4626, стандарт, який вважається зрілим. Інші протоколи можуть стати мішенями в найближчі тижні, особливо якщо зловмисники виявлять подібні вразливості в інших реалізаціях. Що варто стежити Опублікування незалежного звіту про аудит від Inertia, який може розкрити справжній масштаб експлойту та запроваджені корекційні заходи. Реакція страхових компаній DeFi: зростання страхових премій або відмова від страхування для протоколів, що використовують ERC-4626, стане попередженням для галузі. Зміни цін активів, пов’язаних з Inertia та подібними протоколами, які можуть зазнати тиску продажів у разі паніки інвесторів. Можливі регуляторні реакції, оскільки регулятори можуть посилити тиск на DeFi через ці системні ризики. Аудити протоколів, що використовують ERC-4626, таких як Morpho, Aave або Compound, для виявлення можливих подібних вразливостей.