フラッシュローンの包括的な解釈: なぜフラッシュ攻撃が新たな常態になるのか?
編集者注: この記事は以下から引用しましたチェーンニュース (ID:chainnewscom)編集者注: この記事は以下から引用しました
チェーンニュース (ID:chainnewscom)
、著者: Haseeb Qureshi、暗号通貨ベンチャーキャピタル機関である Dragonfly Capital のマネージングパートナー、Odaily の許可を得て転載。
フラッシュローンは最近、外部からの懸念の大きな話題となっています。 2人のハッカーがフラッシュローンを利用して信用取引協定「bZx」を攻撃し、最初の裁定額は35万ドルで、その後、裁定額60万ドルのレプリカ攻撃を行った。
これらの攻撃を一言で表すとしたら、それは「壮観」ということになるでしょう。各攻撃で、無一文のハッカーは数十万ドル相当のETHを融資し、チェーンプロトコルの一連の抜け穴を分散して利用して単一の操作を実行し、盗まれた資産から数十万ドルを引き出し、巨大な暗号通貨のブロックに成功しました。 ETHローンの穴。これらはすべて瞬時に、つまり 1 つのイーサリアム ブロック内で行われます。
画像の説明
これらの攻撃者が誰なのか、どこにいるのかはわかりません。どちらも手ぶらのオオカミであり、身元の痕跡を残さず、攻撃で数十万ドルを稼いでいました。
これらの攻撃のニュースが最初に報道されたとき、私はフラッシュローンとDeFiのセキュリティ問題について注意深く考えていました。この問題は公の場で議論する価値があると思います。
私の意見を簡単に述べますと、フラッシュローンは重大なセキュリティ上の脅威をもたらすと思います。しかし、フラッシュローンがなくなることはなく、将来的にはDeFiの安全性への影響を真剣に考慮する必要があります。
副題
フラッシュローンとは何ですか?
フラッシュローンの概念は、2018年にマーブルプロトコルによって初めて提案されました。 Marble は自らを「スマート コントラクト バンク」と呼び、その製品はシンプルだがスマートな DeFi イノベーション、つまりスマート コントラクトを通じて完了するリスクのないローンです。
どうすれば融資をリスクなく行うことができるのでしょうか?
従来の信用機関は、お金を貸す際に 2 つのリスクに直面します。 1 つ目は債務不履行のリスクです。貸し手がお金を持ち逃げした場合、信用機関は損害を受けることになります。しかし、2 つ目は流動性リスクです。貸し手が誤ったタイミングであまりにも多くの融資を行った場合、または借り手が期日までに返済しなかった場合、貸し手は予期せず流動性の逼迫に陥り、義務を履行できなくなる可能性があります。
フラッシュ ローンは、これら従来の融資リスクの両方を軽減します。フラッシュ ローンの基本的な動作原理は、借り手が必要とする金額を 1 回の取引で融資することです。ただし、取引終了時には、借り手は融資額以上の金額を返済しなければなりません。借り手がそれができない場合、貸し手は自動的にトランザクションをロールバックします。 (はい、スマートコントラクトでそれが可能です!)
簡単に言うと、フラッシュ ローンは自動的に行われます。借り手がローンを返済できなかった場合、ローンがまったく行われなかったかのようにトランザクション全体がロールバックされます。
このようなことはブロックチェーンでのみ起こります。たとえば、BitMEX 取引所ではフラッシュ ローンを行うことはできません。スマート コントラクト プラットフォームはトランザクションを一度に処理するため、トランザクションのすべての要素はバッチで実行されます。これは、トランザクションが実行されるときのトランザクションの「フリーズ時間」と考えてください。集中型取引所では激しい競争が発生し、一部のトランザクションが失敗する可能性がありますが、ブロックチェーンでは、すべてのコードが行ごとに実行されることを保証できます。
フラッシュローンは異なります。フラッシュローン金利にはリスクがなく、機会費用もありません。借り手はフラッシュ ローン プロセス中に「時間を凍結」するため、システムの資金が他人の目から見て危険にさらされることも、ブロックされることもありません。そのため、利子を得ることがありません (例: 機会費用がありません)。
これは、フラッシュローンの貸し手になるのに費用がかからないように感じられることを意味します。これは非常に直観に反するものです。それでは、均衡状態におけるフラッシュローンのコストはいくらになるべきでしょうか?
基本的にフラッシュローンは無料であるべきです。より正確には、資産を貸し出すために追加された 3 行のコードを補う少額の料金です。
Remco Bloemen、0x 開発者
フラッシュ ローンでは、ローン期間が 0 (APR * 0 = 0) であるため、従来の意味での利息を請求することはできません。もちろん、どこかの金融業者がより高い金利を請求すれば、より低い金利の他の金融業者に潰されてしまいます。
フラッシュローンはお金を現実の商品にします。この種の競争により、最終的にコストは必然的にゼロまたはごくわずかになります。 dYdX のライトニング ローン手数料は現在 0 です。そして、AAVE は元本の 0.09% を利息として請求します。これが続くとは思っていません。実際、AAVE コミュニティは利息ゼロを呼びかけ始めています。 (前述した 2 つのハッキングはどちらも AAVE からフラッシュ ローンを取得することを選択しなかったことに注意してください)
副題
フラッシュローンの当初のマーケティングラベルは主に裁定取引向けでした。マーブルのデビュー声明では次のように述べられている。
「Flash Loanは、トレーダーがMarble Bankからローンを借り、分散型取引所DEXでトークンを購入し、その後別のDEXでより高い価格でトークンを販売するのに役立ちます。自動取引により、バッグ内で裁定収入を得ることができます。」
そしてそれが現実です。つまり、これまでに見てきたフラッシュローンのほとんどは、この種の裁定取引に使用されてきました。
画像の説明
AAVE のフラッシュ ローンの使用状況、出典: AAVE
しかし、量はまだ少ないです。 AAVE は設立以来、10,000 ドル強のフラッシュ ローンを発行してきました。裁定取引の規模やDeFi市場の流動性に比べれば、それはバケツの一滴にすぎません。
これは主に、ほとんどの裁定取引が、洗練されたボットを実行する競争力のある裁定取引者によって行われるためです。彼らはオンチェーンの優先ガスオークションを実施し、GasToken を使用して取引手数料を最適化します。この市場は非常に競争が激しいため、利益を最適化するために喜んでトークンを帳簿に残しておきます。
一方、AAVE からの借入コストは約 80,000 ガスで、手数料は元本の 0.09% であり、わずかな利益で裁定競争するには高すぎます。実際、ほとんどの AAVE 裁定取引では、借り手は裁定収入よりも多くの手数料をローンプールに支払います。
結局のところ、DeFi にはフラッシュ ローンのより魅力的な使用例が他にもあります。例としては、ローンの借り換えがあります。たとえば、100 ドルの ETH がロックされた Maker 債務担保ポジション (CDP) があり、そこから 40 DAI のローンを借りたとします。そのため、債務を差し引いた後の CDP での純ポジションは 60 ドルになります。 。より高い金利と引き換えに借り換えてコンパウンドに預けたいとします。通常、CDP を閉じるには 40 DAI を買い戻す必要があり、それにはある程度の前払い資金が必要です。代わりに、フラッシュ ローンを使用して 40 DAI を借りて CDP を閉じ、ロック解除された ETH の 60 ドルを Compound に入金し、残りの 40 ドルの ETH を Uniswap を通じて DAI に戻し、それをフラッシュ ローンの返済に使用できます。オールインワンの自動化されたゼロコスト借り換え。
これは素晴らしいです！これは、Capital Lego が機能している素晴らしい例です。 1x.ag は実際に、信用取引集約アプリケーションを構築し、フラッシュ ローンを使用してそのような取引を自動的に実現しました。
これは素晴らしいことですが、bZx 攻撃者は、フラッシュ ローンがどれほどの損害を与えることができるかを示しています。
副題
セキュリティにおける雷攻撃の重要性
私は、フラッシュ ローンが実際に解き放つのは、高額な攻撃を実行するためのフラッシュ ローンの使用である稲妻攻撃であるとますます信じています。最近の bZx ハッキングでその片鱗が見えてきましたが、これは単なる始まりにすぎないと思います。
なぜフラッシュローンが攻撃者の武器になったのでしょうか?主な理由は 2 つあります。
多くのハッキングには多額の先行資金が必要です（Oracle コインの価格操作など）。 ETH の 1,000 万ドルがプラスの利益を上げているのであれば、それは裁定取引ではないはずです。
短期融資により、攻撃者の汚染を最小限に抑えることができます。 1,000万ドルのETHを使ってオラクルコインを操作する方法を知っていたら、たとえそれだけのETHを持っていたとしても、私はおそらく自分の資金を危険にさらしたくないでしょう。私のETHは汚染されている可能性があり、取引所は私の入金を拒否する可能性があり、マネーロンダリングの難易度は大幅に高まります。リスキーな！しかし、私がフラッシュ ローンで 1,000 万ドルを借りても誰が気にするでしょうか?すべての当事者が恩恵を受けます。私の融資源 - dYdX の担保プールは汚染されません。dYdX の汚染はある程度解消されました。
気に入らないかもしれませんが、最近の取引所の検閲はブロックチェーンのセキュリティ モデルの一部であり、非常に曖昧で集中化されています。しかし私は、フラッシュローンは攻撃者にとってそのリスクを本質的に変えるものだと考えています。ビットコイン ホワイトペーパーの中で、サトシ ナカモトは次のような有名な宣言を発表しました。次の理由により、ビットコインはセキュリティ攻撃の対象にはなりません。
「[攻撃者は]システムを破壊して自分の資産を破壊するよりも、ルールに従って行動する方が利益が得られると判断するはずです。」
Flash Loan では、攻撃者は Flash Loan ゲームに興味がありません。フラッシュローンは攻撃者にとってのリスクを根本的に変えます。
もちろん、攻撃者は多額の資金だけでこれらのプロトコルを攻撃することはできません。すべての DeFi スタックが主張どおりに安全であれば、これは問題にはならないはずです。どのプロトコルが金持ちのクジラに対して安全ではないでしょうか?これらの協定はそのことを考慮しておらず、単に怠慢であると主張する人もいるかもしれない。
ただし、イーサリアム自体は 1 時間あたり 200,000 ドル未満で 51% 攻撃**される可能性があると言われています。この量はそれほど多くありません！イーサリアム独自のセキュリティ モデルが少額の資金を持った攻撃者からしか保護できないのであれば、1,000 万ドルの攻撃を防ぐことができない DeFi アプリケーションに対してなぜそこまで厳しくする必要があるのでしょうか?
(**明確にしておきますが、私は個人的にこの数字を信じていません。ETH 不足などの影響を無視していますが、これは一連の思考を示しています。)
副題
雷の攻撃を遅らせるにはどうすればよいですか?
あなたはデリバティブプラットフォームであり、雷攻撃を避けたいとします。 「取引相手のユーザーがフラッシュ ローンを使用しているかどうかを検出できますか?」という質問は自然です。
簡単な答えは「それはできない」です。
イーサリアムの EVM の設計方法では、他のコントラクトからストレージを読み取ることはできません。したがって、別の契約で何が起こったのか知りたい場合は、その契約でのみ知ることができます。顧客がフラッシュ ローン契約を使用しているかどうかを知りたい場合は、そのフラッシュ ローン契約について尋ねる必要があります。現在の融資プロトコルの多くは、そのような問い合わせに応答することができません (そして一般に、フラッシュ ローンの貸し手に応答を強制する方法はありません)。
デリバティブ プラットフォームが既知のフラッシュ ローン プロトコルをチェックしようとしても、プロトコル プラットフォームが委任契約やフラッシュ ローン プロトコル間のリンクを使用している場合、そのようなクエリは誤解を招く可能性が高くなります。多くの場合、ユーザーがフラッシュ ローンを利用しているかどうかをまったく判断することは不可能です。
ほんの 1 秒以内に、誰かが 1,000 万米ドルを持ってあなたの取引プラットフォームのドアをノックしようとしたとしても、それが自己資金なのかフラッシュローンなのかを判断することは不可能です。
したがって、雷攻撃から保護する必要がありますが、実際のオプションは何でしょうか? 3つの方法が考えられます。
フラッシュ ローン プロトコルにこのサービスの提供を停止するよう説得する
冗談です。皆さん、これが暗号通貨の世界です！
真剣に言うと、融資プールにフラッシュローンの提供をやめさせようとするのは、公共分野における古典的な悲劇である騒音公害を阻止しようとするようなものです。フラッシュ ローンを提供することは各プロトコルの利益であり、そのユーザーにはこの機能を使用したい正当な理由があります。したがって、このオプションは安全に削除できます。フラッシュローンはなくならない。
重要なトランザクションを 2 つのブロックにまたがるよう強制する
フラッシュ ローンを利用すると、1 回の取引で資金を借りることができることを覚えておいてください。資本集約的な取引が少なくとも 2 ブロックにわたる必要があり、ユーザーが少なくとも 2 ブロック時間にわたってローンを引き出す必要がある場合、雷攻撃は不可能になります。 (注: これが機能するには、ローンを返済できないようにユーザーの値を 2 つのブロック間でロックする必要があります。正しく設計しないと、ユーザーがブロック間で電撃を起こす可能性があります)
明らかに、これはユーザー エクスペリエンスを大幅に犠牲にして行われます。つまり、コミット/公開スキームと同様に、トランザクションが同期しなくなります。ユーザーエクスペリエンスは最悪であり、慎重な検討が必要です。
多くの開発者は、レイヤー 2 やイーサリアム 2.0 のクロスシャード通信プロトコルとの対話など、スマート コントラクトの非同期操作について不満を抱いています。皮肉なことに、非同期性により、これらのシステムは雷攻撃からより安全になります。攻撃者は自動トランザクションでメインチェーンとレイヤー 2 またはシャードの操作を同期できないためです。これは、ETH 2.0 シャードまたはレイヤー 2 DEX が雷攻撃を受けないことを意味します。
フラッシュローン完了後にユーザーの口座残高が変わっていないことを証明するには、オンチェーン証明が必要です
ユーザーの実際の残高（つまり、ローンを組む前と返済後の残高）を検出する何らかの方法があれば、雷攻撃を打ち負かすことができます。
ネイティブ EVM メカニズムではこれを行う方法はありませんが、変更することは可能です。あなたがすることは、ユーザーがあなたのプロトコルを操作する前に、前のブロックの終わりに、現在使用している資金を返済するのに十分な残高があることを証明するマークルの提供を要求することです。すべてのブロック内のすべてのユーザーについてこれを追跡する必要があります。 (このアプローチを私に説明してくれたコーネル大学の Ari Juels 教授に感謝します)
このアプローチはある程度までは機能します。もちろん、それはまだ非常に大まかであり、いくつかの問題があります。これらのオンチェーン証明を検証することは、オンチェーンで非常に高価であり、正常に思考するユーザーは、そのような証明を提供し、プロセス全体にガス料金を支払いたいとは思わないでしょう。さらに、ユーザーには法的かつ合理的な理由があり、最後のブロックの残高を調整する場合があります。したがって、このアプローチは理論的には機能しますが、実行可能な解決策ではありません。
明らかに、上に挙げた 3 つの解決策はどれも理想的ではありません。雷攻撃に対する本当に良い解決策はないと私は考えています。しかし、遅い稲妻攻撃を行う特定のアプリケーションが 2 つあります。それは、市場価格オラクルとガバナンス トークンです。
オンチェーンガバナンスは一連の頭痛の種をもたらします。オンチェーンのガバナンスは通常、ガバナンス トークン所有者による加重投票によって決定されます。しかし、このガバナンス トークンがローン プールに入ると、どんな攻撃者でも大量の票を盗み、望む結果を得ることができます。
もちろん、ほとんどのガバナンス プロトコルでは、投票中にこれらのガバナンス トークンをロックする必要があるため、雷攻撃は不可能になります。しかし、これは、「カーボン投票」や Maker のエグゼクティブ投票などの一部のガバナンスプロトコルには当てはまりません。雷攻撃の影の下では、これらのガバナンス メカニズムが侵害される可能性は十分にあります。
理想的には、ガバナンス トークンをフラッシュ ローン プールに入れたくないでしょう。しかし、これはコイン発行者によって決定されるのではなく、市場によって決定されます。したがって、すべてのガバナンス アクションでは、落雷を防ぐためにトークンのロックアップ期間を必要とする必要があります。さらに重要なのは、すべてのガバナンス トークンにはタイムロックが必要であるということです。タイムロックは、すべての実行決定が有効になるまで待機期間を強制します。 (例: Compound のタイムロックは 2 日です)。このメカニズムにより、予期しないガバナンス攻撃が発生した場合にシステムにフォールト トレランス時間が確保されます。 MKR は現在フラッシュ ローン プールからほとんど除外されていますが、最近 MakerDAO はそのような攻撃に対して脆弱であると主張されています。 MakerDAO は現在修正を急いでいます。
副題
これらにはどのような深い意味があるのでしょうか?
bZxの攻撃で状況は完全に変わったと思います。
これが最後の落雷事件ではないでしょう。 2 回目の bZx 攻撃は最初の攻撃の単なるレプリカであり、今後数か月以内に同様の攻撃の波がまた起こるのではないかと思われます。今、地球の隅々で何千人もの聡明なティーンエイジャーがこのDeFiレゴを徹底的に調べ、抜け穴がないか微視的に探し、雷攻撃を仕掛ける方法を見つけ出そうとしている。また、単一の脆弱性を悪用した場合、数十万ドルの利益が得られます。これは、世界のほとんどの地域にとって人生を変えるほどの金額です。
結局のところ、これらの出来事は私に、暗号通貨の世界における古代の概念であるマイナー抽出可能値 (MEV) について考えるきっかけを与えました。 MEV とは、マイナーがブロックチェーン システムから抽出できる合計価値を指します。これには、ブロックの報酬や手数料だけでなく、トランザクションの並べ替えや不正なトランザクションのブロックへの挿入など、その他のそれほど優れたメリットも含まれません。
基本的に、これらの電撃攻撃はすべて、膨大な資金プールにおける 1 つのトランザクションとして考えられるべきです。たとえば、2 回目の bZx 攻撃では、1 回のトランザクションで 645,000 ドル相当の ETH 利益が発生しました。あなたがマイナーで、新しいブロックのマイニングを開始しようとしている場合、前のブロックのトランザクションを見て、「ここで何が起こっているのでしょうか? 最後のブロックには 645,000 ドルの利益が含まれていたのに、なぜマイニングする必要があるのでしょうか?」と自問することを想像してください。 500ドルで新しいブロックは？」
新しいブロックをマイニングし続けるのではなく、歴史を書き換えて自分自身を雷攻撃者にしようとする方があなたの利益になります。考えてみてください。このトランザクションは、イーサリアムで 4 時間の正直なマイニングに相当します。これは、通常のブロック報酬の 1000 倍を含むスーパーブロックを持つのと同じ原理です。そのようなスーパーブロックの論理的な結果は、そのスーパーブロックを盗もうとするマイナーの大規模なグループによる必死の争奪戦です。
画像の説明
シミュレーションではマイナー間の熾烈な競争が示されている
平衡状態では、すべての雷攻撃は最終的に価値を抽出するために採掘される必要があります。 （彼らはすべてのオンチェーン裁定取引と清算を盗むべきであり、最終的には盗むことになることに注意してください）。皮肉なことに、これはハッカーによる窃盗による利益を防ぐことができるため、落雷攻撃を阻止する上で重要な要素となります。おそらく最終的には、マイナーがエクスプロイト コードに対して非公開の報奨金を提供し始め、予想屋の報酬をハッカーに提供するようになるでしょう。技術的には、ゼロ知識認証の利用は信頼がなくても実行できます。 （そう考えるとおかしくないですか？）
それは今日でもSFです。鉱山労働者は明らかにそんなことはしませんでした。
なぜ彼らはそれをしなかったのでしょうか？理由は無数にあります。まず第一に、それは難しくて多くの作業が必要です. EVM はシミュレーションが難しく、リスクが非常に高いです. 資金損失や孤立したブロックを引き起こす可能性のある抜け穴があり、批判を招きます. マイニングプール全体が遭遇するでしょうこれは広報上の危機であり、「イーサリアムの公共の敵」としてリストされる可能性があります。現在の状況では、マイナーは、そうすることでお金を得るよりも、より多くの経済的損失や孤立したブロックを被る可能性が高くなります。
それは今のところ真実ですが、長くはそうではありません。
これにより、イーサリアムはできるだけ早くイーサリアム 2.0 に移行するという新たな推進力がもたらされました。イーサリアム上の DeFi は、素晴らしく魅力的ですが、間違いなく穴がたくさんあります。 DeFi は、すべての高額トランザクションがマイナーによって再配布されるため (タイム バンディット攻撃とも呼ばれます)、PoW チェーンでは不安定です。
システムが大規模に動作するために必要なのは不変性です。マイナーは確認済みのブロックを書き換えることができません。これにより、以前のブロックが再割り当てから保護されます。さらに、DeFi プロトコルが別のイーサリアム 2.0 シャードに存在する場合、雷攻撃に対して脆弱になることはありません。
