Summary
- Edel Finance приостановила работу своего протокола кредитования первой версии после того, как злоумышленник манипулировал механизмом обертки токенизированной акции Google, увеличив стоимость залога примерно в 78 раз и создав плохой долг на сумму около 403 000 долларов.
- Эксплуатация не была вызвана ошибочными ценовыми оракулами — данные Chainlink корректно отображали цену акций Alphabet — а возникла из-за способа конверсии GOOGLx в обёрнутую форму wGOOGLx и обратно, что позволило злоумышленнику брать взаймы реальные активы под обеспечение с неправильной оценкой.
- Эдель заявил, что возьмёт на себя все убытки, чтобы вкладчики не понесли потерь, внедряет переработанную версию системы второго поколения для предотвращения подобных атак с манипуляцией ценами и предложил злоумышленнику урегулирование в стиле white-hat, одновременно координируя действия с биржами.
An Update from the Edel Team
Earlier today, Edel identified and contained an exploit affecting Edel Lending.
The exploit involved manipulation of the wrapped xStocks exchange rate between wGOOGLx and GOOGLx, causing wGOOGLx collateral to be valued at approximately 78x its…
Целью выступала токенизированная версия акции Google компании Alphabet. Edel Lending принимала wGOOGLx, обернутую форму токенизированной акции GOOGLx, в качестве обеспечения.
Обёрнутый токен — это версия актива, перепакованная для работы внутри определённого протокола, и он предназначен для отслеживания базового актива один к одному. Злоумышленник манипулировал обменным курсом между двумя активами так, что wGOOGLx оценивался примерно в 78 раз выше своей реальной стоимости, после чего использовал этот фиктивный залог для заимствования реальных активов из протокола.
Сам ценообразование не было слабым местом. Эдель заявил, что использовал оракулы Chainlink, стандартные сторонние сервисы, которые передают реальные рыночные цены в блокчейн, и они сообщали правильную цену акции Google примерно в $357.
Уязвимость была в механизме оборачивания. Злоумышленник вмешался в процесс конверсии GOOGLx в wGOOGLx и обратно, в результате чего обеспечение было неправильно оценено, несмотря на точность базового ценового индикатора.