Najnovija prijetnja za DeFi: Kako zlonamjerni poolovi likvidnosti lažnim kotacijama obmanjuju korisnike Ethereuma i Polygona

Taktika ‘Jekyll i Hyde’

Prema novom istraživanju koje je 16. srpnja objavila DeFi infrastrukturna tvrtka Enso, novootkrivena klasa zlonamjernih decentraliziranih financijskih (DeFi) bazena likvidnosti cilja na temeljnu infrastrukturu na koju se kripto trgovci oslanjaju kako bi pronašli najbolje cijene.

Tvrtka ove obmanjujuće postavke naziva “toksičnim bazenima”. Za razliku od tipičnih kriptovalutnih hakiranja koja izravno isušuju sredstva iz pametnih ugovora, ovi su bazeni osmišljeni kako bi sustavno zavaravali simulacije transakcija. Vraćaju privlačne, vrlo konkurentne kotacije cijena kada kripto novčanik ili agregator decentralizirane burze (DEX) pokrene simulaciju, ali mijenjaju svoje ponašanje u trenutku kada se transakcija doista izvršava na blockchainu.

Rezultat je suptilno, sistemsko iscrpljivanje: trgovci dobivaju znatno lošije izvršne cijene od onih koje su im kotirane ili njihove transakcije ne uspijevaju, pri čemu se usput troše mrežne naknade.

“Naša istraga navodi nas da vjerujemo da ovo nije samo još jedan izolirani exploit pametnog ugovora”, rekao je Milos Costantini, suosnivač i glavni direktor proizvoda u Ensou. “Industrija je godinama optimizirala otkrivanje cijena. Naši nalazi sugeriraju da je sljedeći izazov provjera integriteta izvršenja.”

Prema Ensoovu izvješću, toksični bazeni iskorištavaju izvanlančane (off-chain) simulacije “dry-run” koje novčanici koriste za pregled trgovina. Zlonamjerni ugovori otkrivaju kada se pokreću u okruženju simulacije samo za čitanje (read-only) i vraćaju umjetno optimiziranu cijenu. Nakon što se transakcija doista emitira na lancu (on-chain), bazen mijenja svoju matematičku logiku kako bi izvršio trgovinu po lošijoj stopi.

Kako bi ostali skriveni od sigurnosnih sustava, ovi bazeni izmjenjuju poštena i zlonamjerna stanja, čineći statične skenere koda i filtre povijesne reputacije neučinkovitima. Ovaj dizajn mamca i zamjene degradira korisničko iskustvo i iscrpljuje sredstva korisnika kroz neuspjele transakcije. U jednoj studiji slučaja, manipulirani Curve bazen izazvao je više od 37.000 poništenih trgovina, prisiljavajući korisnike da spale gotovo 30.000 USD u gas naknadama.

Napadači također iskorištavaju arhitekture burzi nove generacije koje su modularne. Na Polygonu, zlonamjerni “hook” — dodatak pametnog ugovora koji se koristi na platformama poput Uniswap v4 — namamio je sustave usmjeravanja lažnim stopama prije nego što je izazvao stopu neuspjeha transakcija od 99,1%.

Zaključci iz on-chain forenzičke analize

Istraživanje, koje je obuhvatilo približno dva mjeseca on-chain forenzičke analize, kombiniralo je povijesne podatke s arhivskih čvorova (archive-node), analizu tragova transakcija i inspekcije pametnih ugovora. Ensoovi inženjeri, uz podršku kontakata u glavnim DeFi protokolima Curve Finance i Oku, identificirali su aktivne toksične bazene koji djeluju na Ethereum i Polygon blockchainima.

U jednom dokumentiranom slučaju na Ethereumu, manipulirani Curve bazen obradio je više od 129.000 zamjena (swapova). Iako se bazen činio optimalnom rutom, isporučio je lošije izvršenje od kotiranog, što je dovelo do približno 225.000 USD u precijenjenim kotacijama.

Nadalje, Ensoov tim identificirao je više ugovora blockchain orakula koje je implementirao isti operater kako bi podržao dodatne bazene, što upućuje na to da je taktika vjerojatno raširenija od dva dokumentirana slučaja i da bi mogla predstavljati novi obrazac za on-chain ekstrakciju.

Nalazi predstavljaju izravan izazov korisnički orijentiranom sloju DeFi ekosustava. Popularni novčanici, sučelja usmjerena na potrošače i agregatori u velikoj se mjeri oslanjaju na automatizirane simulacije kako bi jamčili “najbolji put” za korisnikovu trgovinu.

Ensoovo izvješće ističe da će, ako infrastruktura za usmjeravanje ne može razlikovati legitimnu kotaciju od manipulirane, front-endovi i dalje usmjeravati korisnike prema ovim zamkama. To stvara potencijalne pravne i financijske rizike odgovornosti za pružatelje novčanika i operatere sučelja koji obećavaju “najbolje izvršenje”, ali rutinski isporučuju toksične rute.

Kao odgovor na prijetnju, Enso je objavio da je ažurirao svoj proizvod za zaštitu izvršenja, Enso Shield, kako bi uključio namjensko otkrivanje toksičnih bazena. Sigurnosni alat osmišljen je da zaobiđe standardne metode simulacije analizom živog on-chain konteksta, praćenjem povijesti kotacija i korištenjem tragova transakcija za uočavanje odstupanja u izvršenju.

Umjesto da krivi pojedine decentralizirane burze, Enso je pozvao širu industriju kriptovaluta da provede daljnja istraživanja manipulacije simulacijama transakcija.

“Ako se simulacijama transakcija može manipulirati dok stvarno izvršenje govori drugačiju priču”, rekao je Costantini, “trebamo bolje načine da provjerimo što korisnici zapravo dobiju.”