Surcompensé

Une proposition portée par la communauté (mais examinée par des professionnels) comportait un bug ayant permis la distribution d'environ 80 millions de dollars de récompenses COMP excédentaires.

Certains utilisateurs, depuis le 29 septembre à 22h20 UTC, pouvaient en effet réclamer des récompenses qu'ils n'avaient pas gagnées.

À l'instar d'un "infinite mint", sans être toutefois aussi dévastateur, les dommages causés ont été indirects.

Seuls les détenteurs de tokens COMP ont ainsi été victimes d'une dilution temporaire plus rapide que prévu.

Il demeure difficile d'appeler cela un crash, et ce en dépit de l'excès de dilution.

Les grands acteurs tels que Compound ont su gagner la confiance de la communauté, si bien que cette mésaventure de 80 millions de dollars ne semble être qu'une goutte d'eau dans l'océan.

L'équipe de Compound a fait de son mieux pour relativiser les faits, tandis que Robert Leshner a très rapidement pris ses distances avec l'incident.

Mais Compound Labs ne peut éluder son implication, celui-ci ayant été clairement crédité de la révision du code fautif avant son déploiement.

Compound : Comptroller contract

Le bug était situé dans les calculs du comptrollerImplementation pour les utilisateurs à long terme qui fournissaient ou empruntaient avant que le compInitialIndex ne soit établi.

Kurt Barry a identifié la racine de l'exploit sur Twitter :

Les smart contracts ne tolèrent pas même la plus insignifiante des erreurs... Le bug COMP est un cas tragique de ">" au lieu de ">=" (à deux endroits du code).

Pour une analyse complète, consultez le thread de Mudit Gupta.

Si les utilisateurs qui ont été les premiers à interagir ont pu retirer des récompenses considérablement gonflées, ceux qui arrivaient plus tard, eux, ne pouvaient que ramasser les miettes, la situation se dégradant au fur et à mesure que les fonds de Comptroller diminuaient.

Une autre proposition de la communauté visant à désactiver les récompenses COMP et à stopper les pertes a été déposée, mais cela apparaissait bien tardif puisqu'il ne restait qu'environ 250 000 dollars dans le contrat Comptroller.

Si vous comparez l'impact négatif sur les détenteurs de tokens au bonheur des utilisateurs qui ont "gagné" leurs récompenses, alors il ne semble pas que ce soit une catastrophe. Cependant, une telle situation ne doit pas se reproduire, car elle ne serait pas supportable.

Toutes les conséquences ne sont toujours pas connues, comme l'a souligné 0xngmi sur Twitter, et peut-être que les utilisateurs qui ont pu réclamer des récompenses à tort n'étaient pas habitués à couvrir leurs traces.

L'une des personnes qui a exploité @compoundfinance a pris ses 10M en COMP et les a dump sur OKEX et Huobi pour des stables, puis a commencé à farm sur curve avec eux.

[Son compte] doit être KYC'd parce qu'il a retiré des millions de ces CEX.

M’sieur, j'ai de mauvaises nouvelles pour vous

C'est l'histoire de l'échec d’un système, dans laquelle aucune partie n'est à incriminer.

De nombreuses personnes ont été impliquées dans un projet complexe et collaboratif, pour que cela finisse par se résumer en :

Deux symboles, et des dizaines de millions envolés.

REKT sert de plateforme publique pour des auteurs anonymes, nous déclinons toute responsabilité quant aux opinions ou contenus hébergés sur REKT.

faites un don (ETH / ERC20): 0x3C5c2F4bCeC51a36494682f91Dbc6cA7c63B514C

avertissement:

REKT n'est responsable en aucune manière du contenu publié sur notre site Web ou en lien avec nos Services, qu'il soit publié ou occasionné par l'Auteur Anon de notre site Web, ou par REKT. Bien que nous fournissions des règles pour la conduite et les publications de l'Auteur Anon, nous ne contrôlons pas et ne sommes pas responsables de ce que l'Auteur Anon publie, transmet ou partage sur notre site Web ou nos Services, et ne sommes pas responsables de tout contenu offensant, inapproprié, obscène, illégal ou autrement répréhensible que vous pourriez rencontrer sur notre site Web ou nos Services. REKT ne saurait être tenu responsable de la conduite, en ligne ou hors ligne, de tout utilisateur de notre site Web ou de nos services.