Як Ethereum-бот використав Uniswap, щоб повернути $5,4 млн після злому Curve

Коли в неділю децентралізована фінансова екосистема криптовалют здригнулася через крадіжку 52 мільйонів доларів у Curve Finance, один торговий бот втрутився в боротьбу. Його місія: зімітувати зловмисників, забрати мільйони доларів у криптовалюті до того, як вона зникне, а потім повернути все це у white-hat-форматі.

Проблема з мовою програмування Vyper, яка використовується для написання смарт-контрактів на блокчейні Ethereum, відкрила вікно можливостей для експериментів з пулами ліквідності на Curve Finance, одній з бірж DeFi.

На момент написання статті на Curve було заблоковано 1,6 мільярда доларів, що на 42% менше, ніж за минулу добу, але все ще становить значну частину DeFi-ландшафту Ethereum вартістю 23 мільярди доларів, згідно з даними DefiLlama.

Зловмисники маніпулювали ціною токенів в декількох пулах ліквідності, де один токен можна обміняти на інший. Нещодавні звіти фірми PeckShield, що займається безпекою блокчейну, свідчать, що було втрачено 52 мільйони доларів. Але зловмисники не втекли з усім майном.

Хтось використав експлойт в пулі ліквідності Curve CRV-ETH – де Ethereum можна обміняти на governance-токен біржі, Curve DAO (CRV). Транзакція коштувала близько 32 доларів США у вигляді комісії за транзакцію, але принесла 2 879 Ethereum – прибуток близько 5,4 мільйона доларів США.

За даними Etherscan, 2 879 Ethereum зрештою були повернуті Curve ботом під назвою “c0ffeebabe.eth”. За замовчуванням адреси Ethereum – це довгий рядок буквено-цифрових символів, але власник бота дав йому людське ім’я за допомогою Ethereum Name Service. PeckShield також приписує боту виведення ще 1,6 мільйона доларів з протоколу синтетичних активів Metronome, а представник фірми, що займається безпекою, повідомив, що 90% цих коштів вже повернуто.

Дії бота були прибутковою арбітражною грою за долі секунди з використанням флеш-кредитів і децентралізованої біржі Uniswap, розповідає Ісін Цао, головний дослідник з питань даних аналітичної платформи DeFi EigenPhi.

“Небагато виконавців можуть робити подібні речі. Існує багато витончених зловмисників, але цей тип арбітражу вимагає дуже глибоких знань”.

Uniswap і Balancer

Розбір транзакції від EigenPhi описує 16 окремих кроків, зроблених ботом, але гра залежала від двох різних DeFi-проектів.

C0ffeebabe.eth спочатку за частки секунди уклав угоду з Balancer, протоколом ліквідності, для отримання флеш-кредиту в розмірі 100 Ethereum. Флеш-кредити не мають забезпечення і вимагають від боржників повернути їх в рамках тієї ж транзакції.

За словами Цао, Uniswap був дуже важливим, оскільки він дозволив c0ffeebabe.eth заробити на розбіжності між ціною CRV на Uniswap і Curve, яку він планував створити за допомогою багу Vyper. Бот обміняв 70 Ethereum на понад 190 000 CRV за допомогою Uniswap.

Початковий сплеск у 30 000 CRV, спрямований на пул CRV-ETH Curve, призвів до того, що баг Vyper вивів його з рівноваги. Незбалансований стан пулу дозволив c0ffeebabe.eth обміняти решту CRV на 2 949 Ethereum – в 177 разів більше, ніж він міг би отримати без експлоіту.

Після того, як флеш-кредит був повернутий, c0ffeebabe.eth отримав значний прибуток.

Вразливість Vyper перетворила те, що могло б бути невеликою грою, на масштабну, сказав Цао. Без використання вразливості c0ffeebabe.eth отримав би лише 9,3 Ethereum, згідно з результатами симуляції, проведеної EigenPhi.

Ончейн-надія

Невдовзі після того, як це було зроблено, c0ffeebabe.eth надіслав повідомлення, використовуючи IDM, які дозволяють надсилати повідомлення в блокчейні Ethereum.

“Наразі ми переміщуємо кошти в холодний гаманець, постраждалі протоколи можуть зв’язатися через чат Etherscan”, – повідомила людина, що стоїть за ботом, сигналізуючи, що вони будуть надійно зберігати вкрадені кошти в цифровому гаманці з приватними ключами, ізольованому від інтернету.

“Розробник з Curve”, – відповів обліковий запис Ethereum, ідентифікуючи себе як частину команди Curve. “Транзакція, яку ви провели, була зломом пулу CRV/ETH. Чи можете ви повернути кошти?”

Кілька експертів з безпеки блокчейну повідомили, що торгівля c0ffeebabe.eth не була прикладом фронтраннінгу. Незважаючи на це, бот врешті-решт розпрощався з тим, що могло б стати його найбільшою винагородою за всю історію.

До неділі c0ffeebabe.eth накопичив приблизно $29 000 прибутку від різних арбітражних угод, згідно з інформацією EigenPhi. Хоча недільна перемога затьмарила попередні результати бота, це не завадило c0ffeebabe.eth продовжувати виконувати свою самовіддану роботу.