Resupply协议遭遇重大安全漏洞导致巨额财务损失
6月26日,Altcoin Resupply协议遭受毁灭性攻击,因价格操纵导致约950万美元损失。攻击者通过捐赠人为抬高了Convex Finance中质押的wrapped cvcrvUSD份额价格,进而影响了Resupply的CurveLend: crvUSD/wstUSR合约,导致抵押率计算紊乱。攻击者得以用极少量cvcrvUSD抵押借出1000万reUSD,随后在外部市场兑换为其他资产。Resupply团队已暂停受影响合约。
价格操纵漏洞利用详情
据PeckShield报告显示,攻击者通过向资金池捐赠抬升了cvcrvUSD份额单价。当单位份额价格被人为抬高后,协议借贷公式产生偏差,导致无抵押借贷成为可能。
通常毫无价值的1 wei(最小单位)cvcrvUSD,因价格虚增被视为高额抵押品。分析师指出,若未采用可靠数据源验证价格,依赖流动性池的抵押模型易出现此类漏洞。
合约崩溃主因是其仅依赖单一预言机定价。尽管Resupply试图通过"借贷"模块扩展流动性,但其价格控制层存在缺陷。安全专家建议整合多元化预言机并实施上限控制以预防类似攻击。
攻击持续影响
攻击发生后,协议内1000万reUSD被提取导致Resupply市场出现短暂波动。项目方宣布暂停受影响合约,并承诺将很快公布用户补偿方案。虽然cvcrvUSD价格在捐赠停止后恢复原值,但债务与抵押的不平衡已造成借贷组合永久性损失。
PeckShield披露,攻击期间肇事者通过多个去中心化交易所快速转移reUSD,增加了追踪难度。尽管考虑采用区块链冻结方案减缓损失,分析师指出由于reUSD发行量有限,追回难度较大。