インテルシアの不正利用は、DeFi貸出における継続的なERC4626の脆弱性を浮き彫りに

DeFi貸付プロトコルInertiaは、複数の貸付市場から約152,000ドルが不正に引き出された最近の攻撃は、長く知られていたERC4626の脆弱性クラスに起因し、主要なオラクルおよびリスク管理保護を依然として回避したと述べています。

5月25日に公開された詳細な事後分析報告書で、プロトコルは攻撃者が、Inertiaの5つの貸出市場にわたって資産を借りる前に、roETH担保の価格を操作したと述べました。

この攻撃により、約1時間13分の間、USDC、INIT、sINIT、TIA、およびroTIAマーケットが影響を受けました。

Inertiaは、保険基金がすべての影響を受けたユーザーの残高を回復し、貸出操作が再開されたことを確認したと述べました。

攻撃は既知のERC4626シェアプライスの脆弱性を悪用しました

プロトコルによると、攻撃者は供給削減と直接のトークン寄付を組み合わせて、roETHリキッドステーキング契約の為替レートを操作しました。

この攻撃は、シェア価格会計メカニズムに関連する既知のERC4626脆弱性パターンを狙ったものです。

Inertiaは、攻撃者がまず引き出しリクエストを通じて循環中のroETH供給を約99.7%減少させ、その後、追加の株式を発行せずにwstETHを直接契約に転送したと述べた。

それは報告された為替レートを急激に押し上げました。

プロトコルによると、roETHの報告された価値は1トークンあたり約1.234 stETHからほぼ33.75 stETHまで急騰し、約27倍のインフレ要因を生み出しました。

攻撃者は、誇張されたコラテラル価値を利用して、複数のレンディングプールから資産を引き出しました。

Inertiaは、この攻撃がリキッドステーキング契約の脆弱性だけでなく、自社の価格安全装置が操作されたコラテラル価値を抑制できなかったために成功したと述べた。

プロトコルは、その価格システムに欠けていたことを認めた：

プロトコルは、ERC4626の脆弱性クラスが2022年から公に文書化されており、すでに広く利用可能な対策が存在することも認識しました。

攻撃後、Inertiaはそのオラクルアーキテクチャとコラテラルレビュー枠組みの一部を刷新すると述べました。

プロトコルは導入を計画しています：

インерシアはまた、バリデーターキュー、流動性プール、ブリッジインフラにまたがって追跡可能な資産に関連する回復活動を継続して調整していると述べました。