Увага

Матеріал підготовлено в освітніх цілях для аналізу ризиків у DeFi та практик безпечної розробки.

На кредитній DeFi-платформі Moonwell (Base та Optimism) після оновлення з Oracle Extractable Value (OEV) від Chainlink у ринку cbETH на Base сталася критична помилка в логіці ціноутворення.

Замість множення курсу cbETH/ETH на USD-ціну ETH система трактувала саме співвідношення cbETH/ETH як уже доларову ціну. Через це cbETH тимчасово оцінювався приблизно у 1.12 USD замість близько 2200 USD.

textОчікувано: price(cbETH_USD) = price(cbETH_ETH) * price(ETH_USD)
Фактично: price(cbETH_USD) = price(cbETH_ETH)
  • Через сильне заниження ціни спрацював каскад ліквідацій.
  • Ліквідатори могли гасити борги символічними сумами та забирати значно дорожче забезпечення.
  • Оцінений загальний збиток протоколу — близько 1.78 млн USD.
  • Найбільше постраждали позиції у cbETH, WETH та USDC.

Після ухвалення пропозиції MIP-X43 уразливий код активували 15 лютого. Команда ризик-менеджменту швидко знизила ліміти позик для cbETH майже до нуля, що обмежило подальші втрати, але частина ліквідацій уже відбулася.

Інфо

Окремо обговорювали, що помилкова логіка була пов’язана з кодом, згенерованим LLM. Це знову підняло питання відповідальності розробників при використанні AI-assisted coding.

Автоматизація розробки не скасовує обов’язкової валідації формул, тестів інваріантів і незалежного аудиту перед продакшен-релізом. У фінансових протоколах одна помилка в оракулі може миттєво перетворитися на багатомільйонний інцидент.

В нас такого багато!

Перейти