Euler Finance sufrió un ataque de flash loan, con pérdidas de hasta 197 millones de dólares

El 13 de marzo de 2023, el proyecto Euler Finance sufrió un ataque masivo de Flash Loans debido a una vulnerabilidad en su contrato inteligente. Los atacantes aprovecharon la falta de una verificación de liquidez en la función donateToReserves de Etoken, obteniendo enormes beneficios a través de múltiples llamadas a operaciones de diferentes monedas. Las pérdidas totales causadas por este ataque alcanzaron los 197 millones de dólares, involucrando 6 tipos diferentes de tokens.

Análisis del proceso de ataque

Los pasos de operación del atacante son los siguientes:

1. Pedir prestado 30 millones de DAI a través de un flash loan de una plataforma de préstamos.
2. Desplegar dos contratos: uno para préstamos y otro para liquidaciones.
3. Pone 20 millones de DAI en el contrato del Protocolo Euler para obtener 195,000 eDAI.
4. Utilizando la función de préstamo con apalancamiento de 10 veces del Protocolo Euler, presté 1,956,000 eDAI y 2,000,000 dDAI.
5. Usar los 10 millones de DAI restantes para pagar parte de la deuda y quemar la cantidad correspondiente de dDAI.
6. Volver a prestar 1,956,000 eDAI y 2,000,000 dDAI.
7. Llamar a la función donateToReserves, donar 10 veces el monto reembolsado (1 millón de eDAI).
8. Disparar la función de liquidación, obtener 3.1 millones de dDAI y 2.5 millones de eDAI.
9. Extraer 389,000 DAI, devolver 300,000 Flash Loans, y obtener finalmente una ganancia de 88,700 DAI.

Análisis de vulnerabilidades

La clave para el éxito del ataque fue la falta de una verificación de liquidez necesaria en la función donateToReserves de Euler Finance. A diferencia de otras funciones clave (como mint), la función donateToReserves no ejecuta el paso de checkLiquidity. Esta omisión permitió a los usuarios manipular el estado de su cuenta para cumplir con las condiciones de liquidación y luego beneficiarse de la liquidación.

En condiciones normales, la función checkLiquidity llamará al módulo RiskManager, asegurando que el Etoken del usuario siempre sea mayor que el Dtoken, para mantener el estado de salud del sistema. Sin embargo, debido a que la función donateToReserves carece de esta verificación clave, los atacantes pueden eludir los mecanismos de seguridad del sistema.

Consejos de seguridad

Para este tipo de ataque, proponemos las siguientes recomendaciones de seguridad:

1. Los contratos inteligentes deben someterse a una auditoría de seguridad completa antes de su lanzamiento.
2. Los proyectos de préstamos deben prestar especial atención a las etapas clave como el reembolso de fondos, la detección de liquidez y la liquidación de deudas.
3. Asegúrate de que todas las funciones que puedan afectar el estado de los activos de los usuarios incluyan las verificaciones de seguridad necesarias.
4. Realizar revisiones de código periódicamente para asegurar que las nuevas funciones no introduzcan vulnerabilidades potenciales.
5. Establecer un mecanismo de respuesta de emergencia para poder reaccionar rápidamente en caso de un incidente de seguridad.

Este incidente destaca una vez más la importancia de la seguridad de los contratos inteligentes. Los equipos de proyecto deben siempre priorizar la seguridad, protegiendo los activos de los usuarios a través de prácticas de seguridad continuas y auditorías.