Euler Financeはフラッシュローン攻撃を受け、約2億ドルの損失を被った

最近、Euler Financeプロジェクトはスマートコントラクトの脆弱性によりフラッシュローン攻撃を受け、大規模な資金損失を引き起こしました。本記事では、この事件について詳細に分析します。

! [オイラーファイナンスの脆弱性分析:フラッシュローンに攻撃され、1億9,700万ドルを失う方法] ](https://img-cdn.gateio.im/webp-social/moments-d96e9a72838647eecb62e1dfc48f2f5d.webp)

イベント概要

2023年3月13日、Euler FinanceプロジェクトのEtokenコントラクト内のdonateToReserves関数に必要な流動性チェックが欠如しており、攻撃者によってフラッシュローン攻撃に利用されました。攻撃者は異なる通貨を用いて複数回操作を行い、最終的に約1.97億ドルの損失を引き起こし、6種類のトークンが関与しました。現在、盗まれた資金は依然として攻撃者のアカウントに滞留しています。

! [オイラーファイナンスの脆弱性分析:フラッシュローンに攻撃され、1億9,700万ドルを失う方法] ](https://img-cdn.gateio.im/webp-social/moments-32928681c9e7631491b5a5f1699820a9.webp)

攻撃プロセス分析

1. 攻撃者はまずある貸出プラットフォームからフラッシュローンで3000万DAIを借り入れ、貸出契約と清算契約を展開しました。

2. デポジット機能を通じてオイラープロトコル契約に2,000万DAIをステーキングし、1,950万eDAIを獲得。

! [オイラーファイナンスの脆弱性分析:フラッシュローンに攻撃され、1億9,700万ドルを失う方法] ](https://img-cdn.gateio.im/webp-social/moments-6d4e5a95a6c33353e8f326a5f074b12b.webp)

3. オイラー議定書の10倍のレバレッジを活用して、1億9,560万eDAIと2億dDAIを貸し出します。

! [オイラーファイナンスの脆弱性分析:フラッシュローンに攻撃され、1億9,700万ドルを失う方法] ](https://img-cdn.gateio.im/webp-social/moments-a52f3c784e670d5ebb507b20436f78a0.webp)

4. 残りの1000万DAIを使用して一部の債務を返済し、対応するdDAIを焼却した後、再度同等の数量のeDAIとdDAIを借り出します。

! [オイラーファイナンスの脆弱性分析:フラッシュローンに攻撃され、1億9,700万ドルを失う方法] ](https://img-cdn.gateio.im/webp-social/moments-6246cad18508cd8a8c88619d67fe149c.webp)

5. donateToReserves関数を呼び出して1億eDAIを寄付し、清算して3億1,000万dDAIと2億5,000万eDAIを取得します。

! [オイラーファイナンスの脆弱性分析:フラッシュローンに攻撃され、1億9,700万ドルを失う方法] ](https://img-cdn.gateio.im/webp-social/moments-84b8e2f409d5518b194b74407b07e02e.webp)

6. 最後にwithdraw関数を通じて3890万DAIを引き出し、30万DAIのフラッシュローンを返済し、純利益887万DAIを得ました。

! [オイラーファイナンスの脆弱性分析:フラッシュローンに攻撃され、1億9,700万ドルを失う方法] ](https://img-cdn.gateio.im/webp-social/moments-17ba97f8bbe91404afdca27e5c1dc559.webp)

脆弱性の原因分析

コードレビューの結果、問題はdonateToReserves関数にあることがわかりました。mintなどの他の重要な関数と比較して、donateToReserves関数には重要なcheckLiquidityステップが欠けています。

! [オイラーファイナンスの脆弱性分析:フラッシュローンに攻撃され、1億9,700万ドルを失う方法] ](https://img-cdn.gateio.im/webp-social/moments-469ffb75f34d18ce6807e39d655ca789.webp)

checkLiquidity関数は通常、RiskManagerモジュールを呼び出してユーザーをチェックし、Etokenの数量がDtokenの数量より大きいことを確認します。donateToReserves関数がこのチェックを実行していないため、攻撃者はプロトコル内の特定の機能を利用して自身を清算可能な状態に置き、その後、清算によって利益を得ることができます。

! [オイラーファイナンスの脆弱性分析:フラッシュローンに攻撃され、1億9,700万ドルを失う方法] ](https://img-cdn.gateio.im/webp-social/moments-365fa6b36d54052ee6efd59f44a1a6f5.webp)

セキュリティ提案

この種の攻撃に対して、プロジェクトチームは以下の点に注意する必要があります：

1. コントラクトのローンチ前に包括的なセキュリティ監査を実施し、コントラクトの安全性を確保する必要があります。

2. 借入・貸出関連のプロジェクトでは、資金の返済、流動性の検査、債務の清算などの重要な段階に重点を置く必要があります。

3. ユーザーの資産状態に影響を与える可能性のあるすべての関数には、必要なセキュリティチェックメカニズムを含める必要があります。

4. 定期的にコードレビューとバグバウンティプログラムを実施し、潜在的な脅威を迅速に発見し修正します。

5. 緊急対応メカニズムを構築し、攻撃事件が発生した場合には迅速に修正措置を講じることができる。

! [オイラーファイナンスの脆弱性分析:フラッシュローンに攻撃され、1億9,700万ドルを失う方法] ](https://img-cdn.gateio.im/webp-social/moments-c071e7e84eb0dc7826b7c954f546987e.webp)

DeFiプロジェクトの継続的な発展に伴い、安全性の問題がますます重要になっています。プロジェクトチームは常に警戒を怠らず、包括的なセキュリティ対策を講じて、ユーザー資産の安全を強力に保障する必要があります。

! [オイラーファイナンスの脆弱性分析:フラッシュローンに攻撃され、1億9,700万ドルを失う方法] ](https://img-cdn.gateio.im/webp-social/moments-a00d28f9fe7463d52cfd055540fad6af.webp)