#StablRStablecoinDepegsAfterExploit

Це класичний і болючий приклад того, як "децентралізоване лише за назвою" управління повертається, щоб вдарити по проекту. Коли протокол використовує мультиsig 1 з 3 для чогось такого критичного, як права на емінг, це повністю руйнує ціль мати мультиsig-гаманець спочатку.
Ось розбір того, що пішло не так, як зловмисник витягнув кошти і чому "прибуток" був значно нижчим за номінальну вартість токенів.
Як розгорівся напад
Злом був у фундаменті управління ключами, а не у вразливості коду. Оскільки контракт вимагав лише один підпис із трьох для виконання транзакцій, компрометація одного приватного ключа дала зловмиснику повний контроль над усією системою.
Розвиток нападу
Крок 1: Компрометація ключа та захоплення: Зловмисник отримав доступ до одного з трьох приватних ключів. Використовуючи цей один підпис, вони виконали команду адміністратора, щоб додати свою власну адресу як власника і повністю видалити двох інших легітимних підписантів.
Крок 2: Непідтримуване емінг: Маючи повний контроль над контрактом емінгу, вони миттєво створили 8,35 мільйонів USDR і 4,5 мільйонів EURR без надання будь-якого забезпечення.
Крок 3: Виведення з DEX: Зловмисник поспішив на децентралізовані біржі (DEXs), щоб обміняти непідтримувані токени на Ethereum (ETH).
Прослизання цін і тонка ліквідність: 7,6 мільйонів доларів у вигляді "Haircut"
Зловмисник створив сумарну номінальну вартість приблизно 10,4 мільйона доларів за паритетом. Однак він забрав лише близько 1115 ETH (приблизно 2,8 мільйона доларів).
Чому така велика різниця? Тонка ліквідність.
Пули стабількоінів на DEXs залежать від глибокої ліквідності для підтримки цін автоматичного маркет-мейкера (AMM). Оскільки пули StablR були відносно мілкими, масивні та раптові ордери на продаж зловмисника повністю перевищили доступну ліквідність. Це спричинило екстремальне прослизання цін, фактично обваливши вартість саме тих токенів, які вони намагалися обміняти під час самого обміну.
Регуляторна нюанс (MiCA)
Що робить це особливо помітним, так це позиціонування StablR як регульованого європейського емітента, що відповідає стандартам MiCA. Регулювання ринків у криптоактивах (MiCA) накладає суворі правила щодо резервів, капітальних вимог і аудиту.
Однак, як зазначила компанія Blockaid, стандартні аудити відповідності регуляторним вимогам зазвичай зосереджені на фінансових резервах і юридичних структурах, а не на операційній безпеці в реальному часі (OpSec). Юридична відповідність не автоматично означає криптографічну безпеку структури; структура мультиsig 1 з 3 є очевидною єдиною точкою відмови незалежно від того, наскільки компанія відповідає нормативам на папері.
‍$ETH