bZx 事件引发对DeFi平台风险管理的思考

Pied Piper Blockchain Community  Feb 20, 2020 01:09  UTC 17:09

8 Min Read

【摘要】DeFi 线上的资产,使用范围窄,只能交易,投资,借贷,流动性偏低,这是dZx事件操纵者的获利主因之一。闪电贷需要在13秒内完成,涉及高风险的操作,没有足够的时间和完善的机制来纠错,平台的风险管理需要改善。

最近,一段关于一个绝顶聪明的人在 bZx上的得了 35 万美元ETH收益的新闻,一下子在币圈炸开了锅,所有知名的区块链媒体平台都转发了这段新闻,很多群友对操作过程提出了疑问,很多群组对此展开了热烈的讨论,令Flashloan这个名字在币圈如雷贯耳,加密货币爱好者也终于弄清楚了许多之前从来不关心的DEFI应用及其功能,其效果远远大于DeFi所做的宣传推广。

到目前为止,虽然对这个操纵者的具体操作流程仍众说纷纭,所以,我们在这里只划重点:

1.操纵者通过Flashloan闪电贷在DYDX平台设定智能合约无抵押借了10000ETH

2.使用其中5500 ETHCompound借出112 wBTC

3.bZx 1300ETH有抵押借入5637.6 WETH并沽空,WBTC/WETH 的兑换率从38拉高到约109,然后按照这个汇率在KyberSwap+Uniswap兑换了51.3 WBTC 

4.Uniswap WBTC抛售兑换成WETH , 兑换率平均为61.4,之后完成dYdX 的智能合约把10000ETH 还了,剩下的ETH就是操纵者的利润,约值35万美金。

令人震撼的是,整个贷款和还款过程必须在13秒内,也就是一个区块内完成,换句话说,这个复杂的操作过程就是在电光火石之间完成。

【魔笛手技术开发社区】的群友表示,十秒便把钱转走了,信用贷能这么玩。直觉不行!

我们请教了群友专家群友蒋旭宪先生,并参考了他写的专业文章【1】,才大致搞清楚上面的操纵过程,不过,我们仍然有很多疑问,并就这些问题Soteria社区展开了热烈的讨论:

Soteria SSDE 开发社区笔记 2020.2.18.

苏博明-金融大观园: 

bZx智能合约问题:当Uniswap WBTC / ETH的兑换价从38被操纵拉高到109.8时,bZx上的抵押品应该不足,爆仓了,但bZx智能合约没有任何要求增加抵押品的保护措施,也没有清算行动这是一个隐藏的问题。

Claire: 操纵者在电光火石之间完成这么复杂的操作,那些懂金融又懂编程的黑客现在真是如入无人之境,简直是空手套白......

苏博明-金融大观园:(这样的人)全球不多于10个吧?

Claire: 感觉DEFI 那班人象在玩游戏啊!兑换率在几秒内拉高几倍,然后用这个兑换价来找你兑换,人工智能在目前阶段应该还不会做出反应吧?这时候Kyberswap应该触发进一步的检查,人会停一停,想一想,人工智能会吗?

苏博明-金融大观园: 我认为现在DeFi金融资产,这些风险管理都没做好,主要矛盾是这些资产都是线上的资产,使用范围都很狭小,只能交易,投资,借贷。简单来说这个DeFi风险管理没有对标传统的金融机构,主要矛盾是资产上链没门,只要资产没有上链,风险管理和传统的接不上。

Claire: 操纵者就是利用流动性缺乏的情况下,拉高汇率然后兑换出货。

苏博明-金融大观园: 是的,我也是这么理解的。但是如果想多一点的话就是链上资产没有完善,所以才有那么多漏洞价格问题。

点智成金资本-林健: 我们现在只是把区块链交易作为资本的一级半市场。

Claire: 流动性低,应用范围窄,是其中一个兑换率可以在短时间内被拉高的原因,DeFi平台还允许无抵押贷款。。。

苏博明-金融大观园: 我有篇文章写的是我中有你,你中有我,就是跟传统金融机构要合得来,不然我们玩不过他们的。

Claire: 这个是平台的风险管理问题。

总结,DeFi是以太坊今年的重头戏,肩负振兴以太坊的重任。那些既懂金融又懂编程的天才,在DeFi领域可以翻云覆雨,在电光火石的十几秒之间,赢取几十万美金,我们为他们感叹之余,是否有想过,把自己的财富存在这些储备池,风险有多高呢?

(全文完)

图片来自Shutterstock

注:【1bZx Hack Full Disclosure (With Detailed Profit Analysis)

https://medium.com/@peckshield/bzx-hack-full-disclosure-with-detailed-profit-analysis-e6b1fa9b18fc 



Read More