Giá Token Cetus

Trước hết, tôi xin gửi lời chia buồn sâu sắc nhất đến đội ngũ @Balancer cũng như tất cả những người bị ảnh hưởng bởi vụ khai thác này. Luôn là một ngày khó khăn khi có một vụ hack DeFi nghiêm trọng như thế này, chưa kể đến từ một giao thức OG. Hơn cả chi phí đô la của các quỹ bị đánh cắp, điều này thực sự làm tổn hại đến hình ảnh của toàn bộ crypto và DeFi, và khiến ngành công nghiệp của chúng ta lùi lại vài tháng. Sự thật là Solidity chỉ là một ngôn ngữ không an toàn quá mức để thực sự trở thành ngôn ngữ hosting cho tương lai của tài chính. Solidity có quá nhiều bề mặt khiến nó dễ bị tấn công, với các nhà phát triển phụ thuộc vào các kiểm tra thủ công cho mọi thứ từ kiểm soát truy cập đến toán học chính xác, và đó chính là lý do tại sao các ngôn ngữ ưu tiên tài sản như Move được phát minh ra ngay từ đầu. Sau khi tìm hiểu một chút, đây là cách Balancer bị hack: Những kẻ tấn công đã khai thác các lỗi làm tròn trong các giao dịch hoán đổi pool ổn định để làm sai lệch hằng số invariant của pool, một hằng số toán học quan trọng đại diện cho tính thanh khoản cân bằng. Họ bắt đầu với các giao dịch hoán đổi cho vay chớp nhoáng BPT (Token Pool Balancer) cho một tài sản cơ bản như cbETH, đẩy số dư đến các ranh giới làm tròn chính xác (ví dụ: quy mô đến 9). Sau đó, họ hoán đổi giữa các tài sản như wstETH sang cbETH với các số lượng được chế tạo (ví dụ: ~8.918 làm tròn xuống 8 do quy mô điểm cố định), đánh giá thấp sự thay đổi dự trữ và làm giảm hằng số invariant (D) một cách giả tạo. Điều này đã làm giảm giá BPT (D / totalSupply), cho phép những kẻ tấn công hoán đổi ngược để tạo ra BPT dư thừa một cách rẻ mạt, đốt nó để rút các tài sản cơ bản với mức "bình thường", và bỏ túi phần chênh lệch, về cơ bản là ăn cắp từ các nhà cung cấp thanh khoản. Lợi nhuận tích lũy trong các số dư nội bộ của Vault và được rút ra thông qua manageUserBalance với WITHDRAW_INTERNAL, không cần bỏ qua xác thực trực tiếp vì lỗi toán học đã trợ cấp cho việc ăn cắp. Đây là một sự mất chính xác trong các thư viện điểm cố định thủ công của Solidity dẫn đến những tổn thất lớn. Cách mà Move sẽ vượt qua hoàn toàn vụ hack này là bằng cách tích hợp an toàn vào cốt lõi: Tài sản được coi là tài nguyên với các kiểu tuyến tính buộc phải bảo tồn nghiêm ngặt (không có bản sao, rơi rớt hoặc mất mát không mong muốn), và toán học sử dụng các số nguyên chính xác u64/u128 với các lệnh hủy tràn tích hợp, không có số thực, không có lỗi làm tròn có thể khai thác trong các phép toán phức tạp. Trong một DEX dựa trên Move, các chức năng hoán đổi sẽ kiểm tra và cập nhật hằng số một cách nguyên tử thông qua VM, hủy bỏ trên bất kỳ sự mất cân bằng nào, chẳng hạn như: public entry fun swap(pool: &mut LiquidityPool, in: Coin, out_amt: u64): Coin { assert!(coin::value(&in) >= calculate_required_in(pool, out_amt), E_INSUFFICIENT_INPUT); coin::merge(&mut pool.coin_x_reserve, in); let out = coin::extract(&mut pool.coin_y_reserve, out_amt); assert!(check_invariant(pool), E_INVARIANT_VIOLATION); out } Hơn nữa, các giao dịch nguyên tử loại bỏ rủi ro tái nhập. Đây là lý do tại sao các hệ sinh thái Move có ít vụ khai thác hơn nhiều so với EVM. Đã đến lúc các nhà xây dựng DeFi chấp nhận các ngôn ngữ như Move ưu tiên an toàn từ đầu, để chúng ta có thể cuối cùng xây dựng một tương lai tài chính bền vững mà không có những trở ngại có thể ngăn chặn như thế này.