DeFi安全審計的盲區，一文了解Curve的最新安全漏洞_Curve:CUR

截至發稿時，這份報告已獲得了Curve官方的認可，而作者也因此獲得了漏洞獎勵，目前Curve正為舊的合約池部署解決方案，而新的合約池不受此漏洞的影響。

以下是漏洞報告內容：在9月19日凌晨的幾個小時，我發現了一個針對Curve合約的漏洞，當合約的放大系數A更新時，攻擊者可提取大量代幣余額。而使用了Curve合約的Swerve，其一度更新了它的A系數，因此用戶的潛在損失是巨大的，占到了合約余額的36.9%，假設進行一次優化后的攻擊，那么大約會損失9200萬美元。幸運的是，Swerve更新順利通過，沒有發生意外情況。那天下午晚些時候，我通知了Curve團隊。幾個小時后，他們確認了漏洞的存在，我們開始一起研究解決方案。實際上，這種攻擊在A向上和向下調整時都可能發生。但是，由于向下調整的潛在損失要大一個數量級，因此我們將重點討論這類攻擊。這些攻擊的嚴重程度與A的變化幅度成正比。事實證明，代幣余額份額的最大損失受如下等式的限制，其中A_old是初始參數值，A_new是更新的參數值，而n是合約中代幣類型的數量。

Cobo Argus上線DeFi挖礦自動撤退機器人:8月10日消息，Cobo 機構級 DeFi 投資管理平臺 Cobo Argus 現已上線 Withdrawal Bot（自動撤退機器人）功能，用戶可以自定義風險指標如 LP Token 權重、Deposit Ratio（存款占比）、TVL 波動范圍，通過監測鏈上實時數據，在協議觸發用戶設定的指標，如 TVL 驟降或 LP Token 占比暴漲等危險信號時，機器人將幫助投資者自動撤出資金。[2023/8/10 16:18:04]

利用漏洞造成的損失，取決于參數A的百分比變化例如，yCurve合約的更新，發生在同一周的早些時候。該合約有n=4個代幣類型，更新從A_old=2000更改為A_new=1000。使用方程1中的公式，攻擊者可利用該漏洞提取高達12.9%的yCurve合約余額。這種攻擊只可能在預定的參數A更新過程中進行。Curve合約在正常操作下不易受到攻擊，因此，沒有必要采取緊急行動來保護用戶資金。但是，在發生其它關于A的更改之前修補此漏洞是至關重要的。Curve團隊正在對更新A的程序進行改進，這些改進應允許Curve合約以安全的方式繼續更新參數A。平均數和代幣聯合曲線

為了理解攻擊，我們有必要了解下代幣聯合曲線。我將解釋一些概念，以便讀者能夠形成一個概念性的理解。我對這一主題采用了一種稍有不同的方法，重點是代幣聯合曲線與一組變量平均值之間的關系。在數學中，平均數是表示一組數據集中趨勢的量數。因此，如果x_1是n個數集合中最小的數，x_n是最大的數，則這個集合的平均數將呈現為介于x_1和x_n之間的中間值。兩種最常見的平均數類型是算術平均數和幾何平均數。

加拿大投資人Kevin O’Leary將成立DeFi投資公司:加拿大投資人及《鯊魚坦克》真人秀明星Kevin O’Leary透露其是加拿大初創公司DeFi Ventures的主要股東，并為該公司領導了一輪2000萬美元的籌款。目前，該公司還未上線。據報道，Kevin O’Leary的投資組合中加密貨幣資產的配置為3%，但隨著DeFi發揮更大的作用，這一比例可能會增加。此外，Kevin O’Leary表示，比特幣最近的波動和下跌實際上促進了其DeFi投資，推動了利潤的增長。（Cryptopotato）[2021/5/26 22:45:53]

算術平均數

幾何平均數平均數在代幣聯合曲線中起到了關鍵作用。AMM合約允許用戶交易任何組合的代幣，這樣AMM合約代幣余額的平均值在交易發生前后保持不變。在不同的AMM設計中，會使用不同類型的平均數方法。對于Uniswap，它使用的是未加權的幾何平均數，對于Balancer，它使用的是加權幾何平均數，對于mStable，它使用的則是未加權的算術平均數。而Curve使用的是算術平均數和幾何平均數的加權平均數，我稱之為Curve平均數。Curve平均數的權重由所謂的放大參數A決定。隨著A向無窮大方向增加，Curve的平均數收斂到mStable使用的算術平均數。相反，如果A設置為0，Curve的平均數將與Balancer和Uniswap使用的幾何平均數相同。對于A的中間值，Curve的代幣聯合曲線將位于這兩個極端的中間。

DeFi保險協議COVER短線暴跌至260美元，24小時跌近58%:OKEx行情顯示，DeFi保險代幣COVER短時暴跌，最低跌至260美元，目前稍有回升，暫報298.55美元，24小時跌幅為57.89%。

關于COVER暴跌的原因，有推特賬號爆料稱，Cover遭黑客攻擊，有人復制了大量的代幣。調查發現，黑客以太坊地址0xf05ca010d0bd620cc7c8e96e00855dde2c2943df在4小時15分鐘以前，就開始利用Cover合約進行鑄幣，目前，該黑客共增發了約11764枚COVER，并在北京時間18時15分至18時35分左右全部拋售，此次攻擊，黑客總共獲取了1488.35枚ETH，約108萬美元左右的收益。[2020/12/28 15:54:37]

圖1:代幣聯合曲線圖1顯示了四種代幣聯合曲線。Uniswap保持幾何平均常數，這產生了一個非常陡峭的曲率。mStable則是算術平均值常量，它是一條直線，而Curve則位于兩者之間。在參數值A=1時，Curve類似于Uniswap，在A=10時，Curve更接近于mStable。平均數和AMM合約持有的價值

參考圖1，我們可以看到，所有四條曲線在距離圖形原點45度線的一個點相交。我們可以利用這個交點到原點的距離，來快速測量AMM合約代幣投資組合的價值。例如，如果這個交叉點到原點的距離增加了20%，那么，假設沒有無常損失，AMM合約持有的價值也將增加20%。這適用于我們所有的四種聯合曲線類型。當我們考慮Curve時，這一特性尤其有用，因為Curve具有一個獨特的特性：當A更新時，其聯合曲線的形狀會發生變化。對于Curve，我們可以使用距離原點的距離來衡量參數更新前后合約投資組合的價值。顯然，如果在更新A之后這個距離明顯減少，這將是一個嚴重的問題。關于參數A的盈虧平衡更新

Neo創始人達鴻飛：DeFi發展仍處早期階段，鏈上資產總量尚小:在Cointelegraph中文主辦的國際區塊鏈技術創新峰會上接受《華夏時報》記者專訪時，達鴻飛表示，我覺得DeFi很有價值，并且很有潛力。但目前這個行業還處于初期階段，大部分項目在進行早期的探索。如今在區塊鏈世界里資產不夠多，都是加密資產，而原生在區塊鏈世界里面，和現實世界關聯的資產較少，且體量相對比較小。當有足夠多跟現實世界有關聯的資產，它就會有更多的互動，有更多的業務形態，影響力也會更大。這里并不是說把所有現實世界的資產，比如一套房子，放到鏈上，而是把一些自帶數字屬性，又有現實意義的資產，比如IT的存儲空間，變成鏈上資產，可以交易、可以流轉。此外，未來DeFi的大規模應用，還是要看傳統金融市場的資產通證化進度以及配套監管的落地。（華夏時報）[2020/12/26 16:34:29]

再次參考圖1，假設Curve合約的代幣余額正好位于45度線的交點處。當所有Curve代幣以一比一的價格比率交易時，就會出現這種情況。從這個起點更新A時，就沒有貨幣損失的風險。例如，假設Curve從這一點開始將參數設置A_old=10改為A_new=1。此更新不會更改聯合曲線到原點的距離。因此，參數變化將是完全無害的，不會使Curve流動性提供者面臨財務損失的風險。直覺上，如果初始余額不完全在交叉點，但接近于這個交點，則損失的風險仍然很小。關于參數A的虧損更新

孫宇晨：BitTorrent正式進軍DeFi市場:據最新消息顯示，波場TRON創始人兼BitTorrent CEO孫宇晨剛剛公布：BitTorrent正式進軍Defi市場。BitTorrent已經與JUST團隊達成深度戰略合作。BTT將作為JUST與波場Defi生態的指定質押代幣之一，同時參加JST質押挖礦。BTT也將是Justswap的首發代幣。JUST將從BitTorrent得到二十億用戶入口。我們將隨后公布更多細節。

據悉，JUST是在波場TRON上運行的第一個DeFi項目，旨在打造基于波場TRON的穩定幣借貸平臺，同時也是領先的數字交易平臺、交易量曾登頂全球Top3的Poloniex LaunchBase首期上線項目。[2020/8/10]

現在讓我們看看圖2。該圖說明了當更新A時，攻擊者如何可能操縱初始條件以實現巨大的利潤。為了便于說明，我展示了從A_old=10到A_new=1的變化，而不是Swerve從A_old=1000到A_new=100的更新。然而，事實證明，漏洞的嚴重程度只取決于新舊比率，因此該數字準確地描述了Swerve的情況。另外，圖中所示的攻擊只捕獲了合約代幣庫存的15%。而一個完全優化的攻擊將交易更極端的金額，從而可捕獲多達36.9%的代幣庫存。

圖2：在惡意交易之間增加一個變化假設Curve合約余額最初位于45度線的交點處，且初始參數值為A_old=10。現在假設一個攻擊者在兩筆惡意交易之間夾了一個參數更新。在第一次惡意交易中，攻擊者出售大量代幣，以導致庫存失衡。接下來，攻擊者將觸發一個更新，更新的值為10和1。如圖所示，這會改變曲線的形狀。最后，攻擊者以更低的價格買回他出售的代幣。此操作將使合約沿45度線返回到完全平衡的狀態。如圖所示，此次攻擊將導致AMM代幣庫存的15%丟失。利用漏洞的可行性

那這樣的攻擊真的有可能嗎？令人驚訝的是，答案是yes。Curve合約要求提前幾天安排A的變更，并通過去中心化的鏈上治理流程達成共識。但是，一旦通過治理批準了A中的更改，并且超過了激活截止日期，合約允許任何調用方觸發更新。因此，攻擊者可自由地從Uniswap快速租借大量穩定幣，將其出售給Curve以觸發極端不平衡，觸發對A的更新，然后從Curve購買穩定幣以獲得巨大的利潤。而完全優化的攻擊會涉及到更多，這里就不再深入細節。而我上面所描述的簡單攻擊，就足以捕獲大部分潛在利潤。修復關于A更改的智能合約邏輯

目前，Curve合約有兩個生產版本。對于未修補的舊版合約，上面提到的內容就是漏洞的原理。而對于較新的合約，仍然存在一個潛在的漏洞，盡管其嚴重性要小的多。我將首先描述舊合約的建議更改。修復舊Curve合約

在舊的Curve合約中，A的變化發生在一個大的離散步驟中。此外，合約邏輯允許攻擊者在單筆交易中以不同的A值執行交易。特別是，攻擊者可以利用其初始交易來迫使庫存極度失衡，然后觸發A的變化，然后以更新后的A值執行更多交易。這使攻擊者可執行涉及數以億計資金量交易的整個攻擊，而不會涉及到風險。為了解決這個問題，我建議更新舊的合約，以便只有受信任的多重簽名帳戶才能激活對A的更新。此外，激活A應需要檢查代幣余額，以確認代幣余額從廣播參數更新交易的時間點起沒有發生顯著變化。這種余額檢查可防止流氓礦工的攻擊。特別是，一個流氓礦工可重新排序交易，這樣他在更新A之前執行一筆大交易，然后在A更新后執行另一筆大交易。余額檢查可防止在合約處于意外不平衡狀態時激活對A的更改，這足以保護CurveLP免受此類攻擊。修復新的Curve合約

在較新的Curve合約中，A的變化是在每次交易開始前以一系列離散的小步驟逐漸發生的。我的理解是每一區塊只能調整一步。此外，合約要求在執行任何交易之前進行預定的步驟調整。這足以抵御普通攻擊者，但不一定能抵御流氓礦工。特別是，一個流氓礦工可以連續鑄造兩個區塊，并在兩個區塊中插入惡意交易。這將允許礦工在第一個區塊中以較高的A值進行初始交易，并在第二個區塊中以較低的A值進行最終交易。更糟糕的是，流氓礦工有一個擴展的窗口來嘗試這些攻擊。只要A還在更新過程中，流氓礦工就可以繼續嘗試挖取兩個區塊序列。為了保護這些較新的合約，我建議將A中的步驟長度減小到每個區塊不超過0.1%。為什么小的的步驟長度有幫助？這涉及到一個我還沒有介紹的因素——Curve合約會收取一筆費用，由于這筆費用，任何交易都會導致代幣聯合曲線稍微偏離原點。這也適用于攻擊者的巨額交易，這使得攻擊的利潤略有下降。如果A的變化足夠小，則完全優化的攻擊所獲得的收益，將被攻擊者支付給合約的費用所抵消。因此，攻擊者再也不可能通過在兩筆交易之間夾雜一個變化來獲利。關于安全審計和智能合約設計的經驗教訓

關于這種攻擊，它要求設計者深入理解代幣聯合曲線，對于智能合約審計者來說，發現利用高度專業化知識的漏洞可能并不現實。實際上，Curve合約已經過了多次安全審計，在我寫這篇文章時，Swerve合約剛剛通過了另一次審計。在我看來，一個通用的，可通過強力探測而不是理論檢測的漏洞審計程序，將是非常有用的。為了檢測這類漏洞，我建議代幣聯合曲線審計納入任意兩步交易程序的模擬。在這些過程中，審計人員將針對合約運行一筆隨機交易，觸發一個智能合約操作，然后運行另一筆隨機交易。在此，智能合約操作將激活對A的更新。對于此漏洞，此模糊測試過程將揭示合約遭受災難性損失的場景。然后，審計人員可以進一步調查，以了解根本原因。對于智能合約設計師來說，了解審計的局限性是有幫助的。當合約允許一次執行一系列復雜的交互時，全面的模糊測試就變得不可行了。問題在于，用戶交互的可能組合太多，我們無法探究每一種可能性。因此，限制用戶在短時間內可采取操作的數量和種類是很有幫助的。這里的想法是避免創建一個非常復雜的智能合約，以至于無法通過暴力手段進行審計。感謝Curve團隊為我的漏洞報告工作支付了一筆非常慷慨的漏洞獎金，另外，特別要提下我在0x的好友GregHysen，是他挖掘了Curve的代碼，幫助我理解更新A的智能合約邏輯。

Tags：CurveCURDEFIDEFcurve幣多少價格合適Yearn SecureBearn Defi ProtocolGDEFI

ETH