采用延时喂价还被黑?Warp Finance 被黑详解

又一起闪电贷攻击事件。

By : Kong@慢雾安全团队

背景

ea2f0c12a4c833a646a85658152e7c3f.png

2020 年 12 月 18 日,据慢雾区情报 DeFi 项目 Warp Finance 遭受闪电贷攻击。以下是慢雾安全团队对整个攻击流程的详细分析。

攻击过程分析

(分析过程较多,快速了解攻击思路可以直接查看下方完整攻击流程部分)

1、通过攻击交易可以看出攻击者通过 Uniswap 和 dydx 闪电贷借出了约 290 万 DAI 和 34.5 万 WETH: https://etherscan.io/tx/0x8bb8dc5c7c830bac85fa48acad2505e9300a91c3ff239c9517d0cae33b595090

546540f7f72d8bca91c6ba445bd1b94c.png

2、接下来攻击者先使用借来的 WETH 和 DAI 向 Uniswap 的 WETH-DAI 交易对添加流动性,获得了约 9.4 万个 LP Token,为接下来在 Warp 中抵押 LP 做准备。

3、随后攻击者通过 Warp 项目 WarpVaultLP 合约的 provideCollateral 函数抵押之前获得的 LP Token。

function provideCollateral(uint256 _amount) public {
        require(
            LPtoken.allowance(msg.sender, address(this)) >= _amount,
            "Vault must have enough allowance."        );        require(
            LPtoken.balanceOf(msg.sender) >= _amount,
            "Must have enough LP to provide"
        );
        LPtoken.transferFrom(msg.sender, address(this), _amount);
        collateralizedLP[msg.sender] = collateralizedLP[msg.sender].add(
            _amount
        );
        emit CollateralProvided(msg.sender, _amount);
    }

通过以上代码第 11 行我们可以看到合约通过 collateralizedLP[msg.sender] 记录了攻击者抵押的 LP Token 的数量。

4、之后攻击者的操作是本次攻击最关键 的一步:攻击者通过 Uniswap 的 WETH-DAI 交易对将大约 34 万的 WETH 兑换成约 4762 万 DAI,此时 WETH-DAI 池子中约剩下有 43.6 万枚 WETH 和 1328.8 万枚 DAI,而在此之前池子里约有 9.5 万枚 WETH 和 6091 万枚 DAI。我们可以发现在攻击者兑换后池子中 WETH 数量大量增加了,接下来我们通过 Warp 的具体代码来分析攻击者为何这么做。

5、根据官方介绍 Warp Finance 项目是允许用户通过抵押 LP Token 来借出 DAI、USDC、USDT 这些稳定币的,接下里我们来看看 Warp 是如何计算出用户可以借出的稳定币数量:

1)在 Warp 中用户可以通过 WarpControl 合约的 borrowSC 函数借出稳定币:

function borrowSC(address _StableCoin, uint256 _amount) public {
     uint256 borrowedTotalInUSDC = getTotalBorrowedValue(msg.sender);
     uint256 borrowLimitInUSDC = getBorrowLimit(msg.sender);
     uint256 borrowAmountAllowedInUSDC = borrowLimitInUSDC.sub(
         borrowedTotalInUSDC
     );

     uint256 borrowAmountInUSDC = getPriceOfToken(_StableCoin, _amount);

     //require the amount being borrowed is less than or equal to the amount they are aloud to borrow 
    require(
         borrowAmountAllowedInUSDC >= borrowAmountInUSDC,
         "Borrowing more than allowed"
     );

     //retreive stablecoin vault address being borrowed from and instantiate it
     WarpVaultSCI WV = WarpVaultSCI(instanceSCTracker[_StableCoin]);
     //call _borrow function on the stablecoin warp vault
     WV._borrow(_amount, msg.sender);

     emit NewBorrow(msg.sender, _StableCoin, _amount);
 }

2)从上方代码第 3、4 行,我们可以发现 WarpControl 合约是通过 getBorrowLimit 函数来获得用户可以借出稳定的数量,接下来我们具体看 getBorrowLimit 函数:

function getBorrowLimit(address _account) public returns (uint256) {
     uint256 availibleCollateralValue = getTotalAvailableCollateralValue(
         _account
     );
     return calcBorrowLimit(availibleCollateralValue);
 }

3)通过分析我们可以发现 getBorrowLimit 函数先通过 getTotalAvailableCollateralValue 函数计算出 availibleCollateralValue,再将计算结果作为参数传入 calcBorrowLimit 函数中,最后返回具体的数量。我们先分析 getTotalAvailableCollateralValue 函数:

function getTotalAvailableCollateralValue(address _account)
     public
     returns (uint256)
{
     //get the number of LP vaults the platform has
     uint256 numVaults = lpVaults.length;
     //initialize the totalCollateral variable to zero
     uint256 totalCollateral = 0;
     //loop through each lp wapr vault
     for (uint256 i = 0; i < numVaults; ++i) {
         //instantiate warp vault at that position
         WarpVaultLPI vault = WarpVaultLPI(lpVaults[i]);
         //retreive the address of its asset
         address asset = vault.getAssetAdd(); 
        //retrieve USD price of this asset
         uint256 assetPrice = Oracle.getUnderlyingPrice(asset);

         uint256 accountCollateral = vault.collateralOfAccount(_account);
         //emit DebugValues(accountCollateral, assetPrice);

         //multiply the amount of collateral by the asset price and return it
         uint256 accountAssetsValue = accountCollateral.mul(assetPrice);
         //add value to total collateral
         totalCollateral = totalCollateral.add(accountAssetsValue);
     }
     //return total USDC value of all collateral
     return totalCollateral.div(1e18);
 }

4)对 getTotalAvailableCollateralValue 函数进行具体的分析我们可以看到此函数通过 for 循环来获得 DAI、USDT、USDC 的可借数量总和。我们可以发现在 for 循环的逻辑中通过 Oracle.getUnderlyingPrice(asset) 获取 LP 的价格,并通过 vault.collateralOfAccount(_account) 来获取用户抵押的 LP 数量,最后将两者相乘即得到可借数量。

在这里我们可以猜测:既然抵押数量是确定的,那必然是价格计算出现问题,接下来我们具体分析价格获取的过程:

function getUnderlyingPrice(address _lpToken) public returns (uint256) {
     address[] memory oracleAdds = LPAssetTracker[_lpToken];
     //retreives the oracle contract addresses for each asset that makes up a LP
     UniswapLPOracleInstance oracle1 = UniswapLPOracleInstance(
         oracleAdds[0]
     );
     UniswapLPOracleInstance oracle2 = UniswapLPOracleInstance(
         oracleAdds[1]     );

     (uint256 reserveA, uint256 reserveB) = UniswapV2Library.getReserves(
         factory,
         instanceTracker[oracleAdds[0]],
         instanceTracker[oracleAdds[1]]
     );

     uint256 priceAsset1 = oracle1.consult( //SlowMist//
         instanceTracker[oracleAdds[0]],
         reserveA
     );
     uint256 priceAsset2 = oracle2.consult(
         instanceTracker[oracleAdds[1]],
         reserveB
     );

     // Get the total supply of the pool
     IERC20 lpToken = IERC20(_lpToken);
     uint256 totalSupplyOfLP = lpToken.totalSupply(); //SlowMist//

     return
         _calculatePriceOfLP(
             totalSupplyOfLP, 
            priceAsset1,
             priceAsset2,
             lpToken.decimals()
         );
     //return USDC price of the pool divided by totalSupply of its LPs to get price
     //of one LP
 }

5)通过分析 getUnderlyingPrice 函数我们可以发现其先通过 UniswapV2Library.getReserves 来获取 Uniswap LP 池子中两种代币 (如 WETH、DAI) 的实时数量,这里的 LP 池子我们可以通过 WarpControl 合约来依次获取(以下只列举第 1 个),分别是 WETH-DAI、WETH-WBTC、WETH-USDT、WETH-USDC。

da06c6b2caf8eb999f7c49dac4649ecd.png

158c4541a516a705a66a21183975ad0a.png

6)在获取完 LP 池子中两种代币 (如 WETH、DAI) 的数量后再通过 oracle1.consult() 分别获取这两种代币的价格,而这里的价格获取使用的是 Uniswap 预言机的实现方式,而 Uniswap 预言机价格获取是有经过时间加权的,也就是延时喂价方式,用户获取的价格是上一个区块的价格,这是无法被操控的。因此我们可以知道代币价格获取的是正确的价格。

Uniswap 的预言机介绍:

https://uniswap.org/docs/v2/core-concepts/oracles/

7)接下来将通过 _calculatePriceOfLP 函数来计算 LP Token 的具体价格:

function _calculatePriceOfLP(
     uint256 supply,
     uint256 value0,
     uint256 value1,
     uint8 supplyDecimals
 )public pure returns (uint256) {
     uint256 totalValue = value0 + value1;
     uint16 shiftAmount = supplyDecimals;
     uint256 valueShifted = totalValue * uint256(10)**shiftAmount;
     uint256 supplyShifted = supply;
     uint256 valuePerSupply = valueShifted / supplyShifted;
     return valuePerSupply;
 }

通过以上代码我们可以知道 LP 价格是如何得出的,以 WETH-DAI 池为例:其通过池子中 WETH 的数量乘 WETH 的价格加上池子中 DAI 的数量乘 DAI 的价格最后除以池子总的 LP Token 数量即可得到单个 LP Token 的价格。具体计算算式如下所示:

6a2cbaa68873e08f86d8742ef10f3149.png

通过以上分析我们可以知道 WETH 的价格和 DAI 的价格获取是正常的,无法被恶意操纵,因此我们可以大胆猜测:攻击者通过将巨量的 WETH 打入 WETH-DAI 池子中换取 DAI,这时候池子中 WETH 的数量将大大的增加,而由于滑点的存在,这种巨量兑换操作必然是会亏损一大部分 WETH 的。所以我们再看上面 LP 单价的计算方式,由于 WETH 数量的大大增加,在巨量兑换后池子中 WETH 数量 WETH 价格 + 池子中 DAI 数量 DAI价格 将远大于巨量兑换前的,也就是池子的总价值大大增加了。所以 LP 的单价也随之提高了,因此攻击者就可以通过其抵押的 LP Token 借出更多的稳定币了。

分析思路验证

我们可以借助 Ethtx.info 来验证我们的猜测是否正确:

https://ethtx.info/mainnet/0x8bb8dc5c7c830bac85fa48acad2505e9300a91c3ff239c9517d0cae33b595090

2eddb252fef33023b2e4988b6a44cb52.png

1、通过上文中第 4 点分析我们可以知道:攻击者通过 Uniswap 的 WETH-DAI 交易对将大约 34 万的 WETH 兑换成约 4762 万 DAI,此时 WETH-DAI 池子中约剩下有 43.6 万枚 WETH 和 1328.8 万枚 DAI,而在此之前池子里约有 9.5 万枚 WETH 和 6091 万枚 DAI。

2、我们可以在 Ethtx.info 发现在兑换前 WETH-DAI 池子的 LP Token 单价为58815427。

4343cfd5574579c26ae071fe4759979d.png

巨量兑换后 WETH-DAI 池子的 LP Token 单价为135470392。

095734486041a0d994658522422f0f0e.png

我们可以看到由于 WETH 数量的增加造成兑换后池子的总价值几乎翻倍了,因此单个 LP Token 在 Warp 中可借出的稳定币就更多了。

3、接下里如我们猜测的那样攻击者在拉高 LP Token 的价格后通过 WarpControl 合约的 borrowSC 函数分别借出 DAI 和 USDC。

343f7177891b60c298da0b6efa0761ad.png

4、最后在 Uniwsap 的 WETH-DAI 池子总归还 DAI,重新拿回 34 万枚 WETH 完成攻击操作。最后只需按部就班的归还闪电贷即可获利。

完整的攻击流程如下

1、攻击者部署攻击合约,并通过 dydx 与 Uniswap 闪电贷借出 DAI 和 WETH。

2、攻击者拿出一小部分的 DAI 和 WETH 在 Uniswap 的 WETH-DAI 池中添加流动性,并获取 LP Token。

3、攻击者使用添加流动性获取的 LP Token 抵押到 Warp Finance 中,为借出稳定币做准备。

4、攻击者利用巨量的 WETH 在 Uniswap 兑换成 DAI 来拉高 WETH-DAI 池子的总价值,使得 Warp Finance 中 LP Token 的单价变高。(注意这里 WETH 和 DAI 价格获取是正确的并没有被操纵,被操纵的是 WETH 的数量,通过增加 WETH 的数量来拉高池子的总价值)。

5、由于 LP Token 的单价变高,导致攻击者抵押的 LP Token 可以借出更多的稳定币来进行获利。

总结

本次攻击的本质是通过操纵 LP Token 的单价来获取更多的稳定币可借贷数量进行获利的。这是由于在 Warp Finance 中 LP Token 的价格是通过 LP 池子的总价值除 以 LP Token 的总数量得到的,虽然代币价格获取正确,但代币数量是可被操纵的,因此 LP 的单价就是可被操纵的,这就形成了攻击的必要条件了。最终项目方损失约 800 万美元,但攻击者抵押的 LP 也留在了 Vault 中,如果抵押的这部分 LP 后续可被清算的话可以一定程度上的弥补项目方的损失。

相关参考链接如下:

Uniswap 预言机实现介绍: https://uniswap.org/docs/v2/core-concepts/oracles/

本次分析的攻击交易: https://etherscan.io/tx/0x8bb8dc5c7c830bac85fa48acad2505e9300a91c3ff239c9517d0cae33b595090

本文首发于:https://mp.weixin.qq.com/s/ues5U9Bl971hSqGO1a4SYA

点赞 0
收藏 0
分享
本文参与登链社区写作激励计划 ,好文好收益,欢迎正在阅读的你也加入。

0 条评论

请先 登录 后评论
慢雾科技
慢雾科技
江湖只有他的大名,没有他的介绍。