Oráculo con préstamo flash en Value DeFi

El 14 de noviembre de 2020, la bóveda MultiStables de Value DeFi perdió aproximadamente $7 millones por una manipulación con préstamo flash del precio Curve 3pool en el que su estrategia se basaba. El atacante pidió prestadas grandes cantidades de stablecoins, sesgó el 3pool, hizo que la bóveda depositara/retirara a tasas desfavorables, y se quedó con la diferencia (devolviendo ~$2M después).

Qué ocurrió

La bóveda ponía precio a las operaciones de estrategia desde la tasa spot manipulable del Curve 3pool. Un préstamo flash sesgó el pool; la bóveda transaccionó a la mala tasa; el atacante extrajo ~$7M, reembolsó el préstamo, y más tarde devolvió ~$2M.

Consecuencias

• Value DeFi pausó y reembolsó parcialmente; el atacante devolvió una porción.

Por qué importa

Value DeFi (nov 2020) es uno de los exploits canónicos más tempranos de oráculo de bóveda con préstamo flash, junto con Harvest Finance (oct 2020) y el par bZx (feb 2020). Es, en efecto, un documento fundacional del patrón individual más repetido en todo este catálogo. Todo lo que sigue — Cream, Belt, Cetus, cientos de otros — es una variación de lo que Value DeFi demostró en noviembre de 2020: pon precio a una bóveda desde un pool que un atacante puede mover en la misma transacción, y la bóveda es un grifo abierto. La defensa fue articulada inmediatamente después de estos incidentes de 2020 y ha estado libremente disponible, y rutinariamente sin usar, desde entonces.