DeFi:s senaste hot: Hur skadliga likviditetspooler lurar användare av Ethereum och Polygon med falska kurser

En ”Jekyll och Hyde”-taktik

En nyupptäckt typ av skadliga likviditetspooler inom decentraliserad finans (DeFi) riktar in sig på den centrala infrastruktur som kryptovalutahandlare förlitar sig på för att hitta de bästa priserna, enligt ny forskning som publicerades den 16 juli av DeFi-infrastrukturföretaget Enso.

Företaget kallar de vilseledande uppsättningarna för ”toxiska pooler”. Till skillnad från typiska kryptovalutahack som dränerar medel direkt från smarta kontrakt är dessa pooler utformade för att systematiskt lura transaktionssimuleringar. De ger attraktiva, mycket konkurrenskraftiga prisnoteringar när en kryptoplånbok eller en aggregator för decentraliserade börser (DEX) kör en simulering, men de ändrar sitt beteende i samma ögonblick som transaktionen faktiskt genomförs på blockkedjan.

Resultatet blir en subtil, systematisk förlust: handlare får betydligt sämre genomförandekurser än de som angavs, eller så misslyckas deras transaktioner, vilket samtidigt slukar nätverksavgifter.

”Vår undersökning får oss att tro att detta inte bara är ännu ett isolerat utnyttjande av smarta kontrakt”, säger Milos Costantini, medgrundare och produktchef på Enso. ”Branschen har ägnat år åt att optimera prisbildningen. Våra fynd tyder på att nästa utmaning är att verifiera utförandets integritet.”

Enligt Ensos rapport utnyttjar skadliga pooler de off-chain-simuleringar (”dry-run”) som plånböcker använder för att förhandsgranska transaktioner. De skadliga kontrakten upptäcker när de körs i en skrivskyddad simuleringsmiljö och returnerar ett artificiellt optimerat pris. När transaktionen väl sänds ut på kedjan ändrar poolen sin matematiska logik för att genomföra transaktionen till en försämrad kurs.

För att förbli dolda för säkerhetssystem växlar dessa pooler mellan ärliga och skadliga tillstånd, vilket gör statiska kodskannrar och historiska reputationsfilter verkningslösa. Denna ”bait-and-switch”-konstruktion försämrar användarupplevelsen och tömmer användarnas medel genom misslyckade transaktioner. I en fallstudie utlöste en manipulerad Curve-pool mer än 37 000 återförda transaktioner, vilket tvingade användarna att slösa bort nästan 30 000 dollar i gasavgifter.

Angripare utnyttjar också nästa generations modulära börsarkitekturer. På Polygon lockade en skadlig ”hook” – ett plugin för smarta kontrakt som används på plattformar som Uniswap v4 – routingsystem med falska kurser innan den utlöste en transaktionsfelprocent på 99,1 %.

Resultat från forensisk analys på blockkedjan

Forskningen, som omfattade ungefär två månaders forensisk analys på blockkedjan, kombinerade historiska data från arkivnoder, spårningsanalys av transaktioner och granskningar av smarta kontrakt. Enso-ingenjörer, med stöd från kontakter hos de stora DeFi-protokollen Curve Finance och Oku, identifierade aktiva skadliga pooler som var verksamma på både Ethereum- och Polygon-blockkedjorna.

I en dokumenterad fallstudie på Ethereum hanterade en manipulerad Curve-pool mer än 129 000 swappar. Även om poolen verkade vara den optimala vägen, levererade den sämre utförande än vad som angivits, vilket ledde till övervärderade kurser på cirka 225 000 dollar.

Dessutom identifierade Ensos team flera blockchain-orakelkontrakt som satts in av samma operatör för att stödja ytterligare pooler, vilket tyder på att taktiken sannolikt är mer utbredd än de två dokumenterade fallen och kan utgöra en ny mall för utvinning på kedjan.

Resultaten utgör en direkt utmaning för det användarvända lagret i DeFi-ekosystemet. Populära plånböcker, användargränssnitt och aggregatorer är starkt beroende av automatiserade simuleringar för att garantera den ”bästa vägen” för en användares handel.

Ensos rapport belyser att om routningsinfrastrukturen inte kan skilja mellan en legitim kurs och en manipulerad sådan, kommer front-end-systemen att fortsätta styra användarna mot dessa fällor. Detta skapar potentiella juridiska och ekonomiska ansvarsrisker för plånboksleverantörer och gränssnittsoperatörer som lovar ”bästa utförande” men rutinmässigt levererar skadliga vägar.

Som svar på hotet meddelade Enso att man har uppdaterat sin produkt för utförandeskydd, Enso Shield, så att den nu inkluderar en särskild funktion för att upptäcka skadliga pooler. Säkerhetsverktyget är utformat för att kringgå vanliga simuleringsmetoder genom att analysera realtidsdata från blockkedjan, övervaka kurshistorik och använda transaktionsspår för att upptäcka avvikelser i utförandet.

I stället för att skylla på enskilda decentraliserade börser har Enso uppmanat kryptovalutabranschen i stort att bedriva ytterligare forskning om manipulation av transaktionssimuleringar.

”Om transaktionssimuleringar kan manipuleras samtidigt som den faktiska utförandet visar något annat”, sade Costantini, ”behöver vi bättre sätt att verifiera vad användarna faktiskt får.”