Я просмотрел детали атаки на sDOLA LlamaLend, и это хорошая демонстрация того, что может пойти не так с флеш-займами.

В общем, злоумышленник смог манипулировать ценой sDOLA, используя флеш-займы в сочетании с пожертвованиями. Обменный курс вырос с 1,189 DOLA до 1,353 DOLA — это довольно резкий скачок, из-за которого алгоритмы оценки здоровья аккаунтов оказались обмануты. Несколько позиций в контроллере crvUSD внезапно опустились ниже нуля.

Где это особенно хитро, так это в том, что злоумышленник занял позицию ликвидатора. Пока все смотрели в другую сторону, он забрал награды за ликвидацию, перепродал их, погасил свой флеш-займ и ушел с прибылью примерно в 240 000 долларов. Такой тип атаки показывает, почему оракулы цен и механизмы ликвидации остаются уязвимыми точками.

Интересно, что это не новая уязвимость — флеш-займы известны уже давно. Но это показывает, что действительно нужно хорошо продумывать защиту при управлении протоколом займа. Такие случаи помогают понять, почему аудит безопасности и стресс-тестирование критически важны в этой области.