CertiK：八千萬人民幣不翼而飛，Compounder.finance內部操作攻擊分析_UND:Compound Sai

八千萬人民幣的大案子，是不是想起了《人民的名義》里那一墻的人民幣？在日常生活里，也許你不小心疏忽遺失了錢包也丟不了太多錢。但在加密貨幣的世界中稍有不慎，損失的金額也許是一把撒出去遮天蔽日的那種效果。

在層出不窮的礦坑中，一著錯漏，滿盤皆輸。往往項目擁有者與投資者一樣，心心念念記掛著自家項目的安全性。但有一種情況是例外.....北京時間12月1日下午3點，CertiK安全技術團隊通過Skynet發現Compounder.Finance項目位于0x0b283b107f70d23250f882fbfe7216c38abbd7ca地址處智能合約發生數筆大額交易。CertiK安全技術團隊驗證后，發現這些交易是Compounder.Finance項目擁有者內部操作，將大量代幣轉移到自己的賬戶中。經統計，Compounder.Finance最終共損失約價值八千萬人民幣的代幣。攻擊事件經過如下：

CertiK：EOA地址0x35fEf將400枚BNB轉至Tornado Cash:金色財經報道，據CertiK官方推特發布消息稱，EOA地址（0x35fEf）將400枚BNB（約9.97萬美元）轉至Tornado Cash，該筆資金來自6月19日被大量出售的IPO代幣。[2023/6/21 21:51:44]

圖一：inCaseTokenGetStuck()函數Compounder.Finance項目擁有者通過多次調用如圖一所示位于0x0b283b107f70d23250f882fbfe7216c38abbd7ca中的inCaseTokenGetStuck()函數，將代幣轉移到自己的指定的地址中。調用該函數時，首先在1471行會檢查外部函數調用者是否為strategist或者governance角色地址，通過檢查于0x0b283b107f70d23250f882fbfe7216c38abbd7ca智能合約的strategist角色地址，發現與Compounder.Finance項目擁有者地址一致。

CertiK：5月份記錄了35次重大攻擊，總損失約為7330萬美元:金色財經報道，據CertiK監測，5月份記錄了35次重大攻擊，總損失約為7330萬美元。[2023/6/3 11:55:27]

圖二：Compounder.Finance:StrategyControllerV1中strategist角色地址

圖三:項目管理者盜取代幣的交易舉例項目管理者盜取代幣的交易列表:https://etherscan.io/tx/0x9c75f70670d94e6d37f60a585f9b57d13193998d64866f720489efbea4809056FromCompounder.Finance:StrategyControllerV1ToCompounder.Finance:DeployerFor6,230,432.06773805($458,310.58)CompoundUni...(cUNI)https://etherscan.io/tx/0x18e0efcaabe64299666fd78bb33dae2a4b25c6f11b469fc0498db714970cacfaFromCompounder.Finance:StrategyControllerV1ToCompounder.Finance:DeployerFor1,934.23347357($745,530.95)CompoundWra...(cWBTC)https://etherscan.io/tx/0xf94de5a083f16700f4d26ec8ca3e03dc01889a54f472bf630079c54a77f033e6FromCompounder.Finance:StrategyControllerV1ToCompounder.Finance:DeployerFor97,944,481.39815207($2,086,547.53)CompoundUSD...(cUSDC)https://etherscan.io/tx/0x0763afe207015ed7c1aa8858d2c092cf7b6a20397f2408bff20b044ef1901822FromCompounder.Finance:StrategyControllerV1ToCompounder.Finance:DeployerFor105,102,172.66293264($2,159,301.01)CompoundUSD...(cUSDT)https://etherscan.io/tx/0x10d245e61e76c7bf44257985789463ed89f624a0d5ffc45cfa671b16a7113d77FromCompounder.Finance:StrategyControllerV1ToCompounder.Finance:DeployerFor1,300,610.936154161964594323($1,521,714.80)yearnCurve....(yyDAI+...)https://etherscan.io/tx/0x57c61df91e46b191424bfdd9223f277457a07999b58420e3b540059aad3fc7feFromCompounder.Finance:StrategyControllerV1ToCompounder.Finance:DeployerFor8,077.540667($4,788,285.33)WrappedEthe...(WETH)當今DeFi市場中存在著項目擁有者權限過大，中心化程度過高的項目比比皆是。目前對項目擁有者缺乏額外治理或者限制措施，由于此類原因導致的內部操作攻擊事件也逐漸增多。此次事件造成損失巨大，攻擊技術細節簡單，更是為所有DeFi項目敲響了警鐘：1.當前DeFi市場中缺乏對項目擁有者進行有效限制的方法。2.投資者對該類安全風險主要還是依靠查找項目背書的方式來進行確認。項目的安全與否不該依賴于項目擁有者或團隊自身的“選擇”，這樣的防范方式并不可行，從智能合約代碼層面對項目擁有者進行權限限制才能從根本上杜絕此類攻擊。歡迎搜索微信關注CertiK官方微信公眾號，點擊公眾號底部對話框，留言免費獲取咨詢及報價！

SGS將在28個機場實施DocCerts區塊鏈管理解決方案:金色財經報道，沙特機場地勤服務提供商SGS將與區塊鏈公司IR4LAB合作，在沙特的28個機場實施DocCerts區塊鏈管理解決方案，適用于SGS提供地面服務的所有培訓相關數字文件和地面服務設備許可證。（Zawya）[2023/2/9 11:56:42]

Balancer：LDO激勵措施已遷移到Arbitrum上新的wstETH/weth池:據官方推特消息，Balancer宣布，LDO激勵措施已遷移到Arbitrum上新的wstETH/weth池，BAL激勵措施將在幾周后推出。[2023/1/15 11:12:32]

CertiK宣布融資6000萬美元，投資方包括SoftBank Vision Fund II與Tiger Global:金色財經消息，Web3和區塊鏈安全公司CertiK宣布融資6000萬美元，投資方包括軟銀愿景基金2（SoftBank Vision Fund II）和Tiger Global，標志著軟銀首次涉足Web3安全領域。這也意味著該公司在9個月的時間里總共融資2.9億美元，進一步鞏固了其獨角獸地位。

此次融資正值區塊鏈社區圍繞Web3應用程序開發引領增長，并為虛擬生態系統創建新的用例，特別是在游戲、NFT和DeFi方面之際。CertiK的營銷副總裁Monier Jalal表示：“隨著Web3開發和隨之而來的黑客攻擊趨勢的增加，這種巨大的影響推動了對Web3安全的需求。”

4月7日消息，CertiK宣布近日完成8800萬美元B3輪融資，估值達到20億美元，此次融資由Insight Partners、Tiger Global和Advent International領投，高盛、 Sequoia Capital和Lightspeed Venture Partners等參投。（Cointelegraph）[2022/4/22 14:42:04]

Tags：UNDCompoundOMPCOMPRound XCompound Saicomp幣背景comp幣中文名

芝麻開門交易所