BeanstalkFarmsはガバナンスの悪用により1億8200万ドルを失う

Beanstalk Farmsは、悪意のある攻撃者がプロトコルのガバナンスシステムを悪用してすべての担保を抽出したため、最新の注目を集める分散型ファイナンス（DeFi）エクスプロイトになりました。

不吉なガバナンスの提案

Beanstalkファームは、2つのガバナンス提案とフラッシュローン攻撃によって引き起こされたセキュリティ違反のおかげで、1億8200万ドルの担保を失い、1か月で2番目の9桁のDeFiエクスプロイトになりました。 エクスプロイトの根本には、4月19日に攻撃者によって発行された2つの疑わしいガバナンス提案、BIP-18とBIP-19がありました。 提案は、ウクライナに資金を寄付するための議定書を求めて、十分に無害に見えた。

ただし、スマートコントラクト監査人BlockSecの分析によると、提案には悪意のあるライダーが含まれていたため、最終的にハッカーはプロトコルからすべての資金を流出させることができました。 Beanstalkは ツイッター 攻撃を承認し、プロトコルがまもなく攻撃を発表すると述べた。

「今日、Beanstalkはエクスプロイトに見舞われました。 Beanstalk Farmsチームは攻撃を調査しており、できるだけ早くコミュニティに発表します。」

攻撃の結果、BeanstalkのBEANステーブルコインは崩壊し、現在86.5％減少しています。 CoinGecko。 ほんの数週間前、コミュニティは別の9桁のDeFiハックによって破壊されました 浪人エクスプロイト。

攻撃の詳細

セキュリティ違反は、攻撃者がAAVEから10億ドルのフラッシュローンを取得した、UTCの午後12時24分に発生しました。これは、USDコイン（USDC）、DAI（DAI）、およびテザー（USDT）のステーブルコインで表示されます。 次に、ハッカーはこれらの資金を利用して資産を取得し、Beanstalk Farmのガバナンスの67％を引き継ぎ、独自の提案を承認しました。 Beanstalk Farmsは、ハッカーとの話し合いにオープンであるとツイートしました。

「私たちは前進するためにあらゆる努力をしています。 分散型プロジェクトとして、DeFiコミュニティとチェーン分析の専門家に、CEXを介して資金を引き出すエクスプロイトの能力を制限するのを支援するよう依頼しています。 搾取者が議論にオープンであるなら、私たちもそうです。」

攻撃は、Beanstalkチームに通知したセキュリティ分析会社PeckShieldによってフラグが立てられました。 しかし、攻撃者はすでにETHとBEANで8000万ドル近くを吸い上げていました。 ただし、プロトコルの損失は、合計ロック値（TVL）で1億8200万ドルすべてを失ったため、はるかに大きくなりました。 攻撃者が資金を手に入れたら、トルネードキャッシュに送金しましたが、ウクライナの暗号通貨寄付ウォレットに250,000USDCを送金する前ではありませんでした。

フラッシュローンエクスプロイトに便利なツール

フラッシュローンにより、ハッカーは過去にも他のプロトコルでセキュリティエクスプロイトを実行できるようになりました。 ただし、Beanstalk Farmsの場合、すべてのガバナンス手順とスマートコントラクトが意図したとおりに機能したため、イベントを技術的にハックとして説明することはできません。 ただし、ハッカーは設計の特定の欠陥を悪用することができました。 プロジェクトのスポークスパーソン「Publius」は、これらの欠陥を認め、次のように述べています。

「ビーンズトークを成功させる立場に置いたのと同じガバナンス手順が、最終的には元に戻すことであったことは残念です。」

Beanstalkに戻る方法はありますか？

プロジェクトのスポークスパーソンであるPubliusは、プロジェクトの将来についてかなり落ち込んでおり、ベンチャーキャピタリストからの支援がないため、プロジェクトはおそらく失われると書いています。 展開するイベントをさらに発展させる際に、Publiusはプロジェクトの開発者を晒し、Benjamin Weintraub、Brendan Sanderson、およびMichaelMontoyaとして識別しました。 モントーヤはコミュニティに、ビーンズトークチームがFBIに連絡を取り、あらゆる調査に全面的に協力すると述べた。

協力的なコミュニティでのいくつかのゴロゴロ

Beanstalkコミュニティは、大きな損失にもかかわらず、これまでのところチームとプロジェクトをかなり支援してきました。 ただし、一部のコミュニティメンバーは、チームが攻撃に対してより多くの責任を負うべきであると公に述べています。 しかし、Publiusは、このプロジェクトはオープンソースのコード実験であり、チームも彼も責任を問われるべきではないと述べました。

免責事項：この記事は情報提供のみを目的として提供されています。 法律、税務、投資、財務、またはその他のアドバイスとして提供または使用することを意図したものではありません。