CertiK：Yearn.Finance驚爆漏洞，DeFi再遭打擊，一文帶你探明事件始末_CER:PINETWORKDEFI

2月5日消息，據DeBank數據顯示，DeFi真實鎖倉量突破470億美元，創下歷史新高，本文撰寫時為478.3億美元，約等于3095億人民幣。

2020年被稱為“DeFi元年”，DeFi在Compound首創的“流動性挖礦”推動下獲得了歷史性的大爆發，然而其安全風險居高不下。北京時間2月5日凌晨，CertiK安全技術團隊發現DeFi項目Yearn.Finance發生攻擊事件，攻擊總損失高達約7100萬人民幣，黑客從中獲利約1800萬人民幣。黑客通過閃電貸獲得攻擊啟動資金，利用Yearn項目代碼漏洞，完成整個攻擊。攻擊者獲利數目截圖

CertiK：某EOA地址將4,000枚ETH轉入Tornado Cash:金色財經報道，據CertiK官方推特發布消息稱，EOA地址(0xC616... )將4,000枚ETH(約770萬美金）轉入 Tornado Cash。據悉，該筆資金可追溯至5月AnubisDAO 撤出的流動性。[2023/7/16 10:58:28]

此次攻擊總計包括11筆利用漏洞獲利交易以及3筆轉換代幣交易，交易列表如下：

月亮鼠Smrat已通過CERTIK審計:據官方消息，Smrat已通過CERTIK審計，獲得83分排名73。Dao自治社區投票通過。目前SMRAT持幣地址突破已87000個，用戶可以通過MEME+NFT+持有SMRAT獲得分紅免質押挖礦BNB。同時在今日DAO自治社區上幣投票通過，已通過上線中心化交易所的提議，目前已上線pancakeSwap。

據了解，MoonRat是一個社區驅動的、公平啟動的DeFi項目，建立在幣安智能鏈BSC上。每筆交易中都有三個功能：映射、LP獲取以及銷毀。投資者持有SMRAT就可以賺取BNB。[2021/5/16 22:08:38]

除開3筆轉換代幣交易之外，剩余11筆獲利交易均針對同一個漏洞，使用相同的攻擊方式完成的獲利。攻擊大致流程圖如下：具體步驟如下：利用閃電貸籌措攻擊所需初始資金。

報告：Coinbase等25家加密交易所被新型木馬病“Cerberus”列入攻擊目標:3月2日，網絡安全公司ThreatFabric發布了一份報告，該報告涉及對加密社區的新威脅，即“ Cerberus”特洛伊木馬病。根據報告，Cerberus病能夠竊取谷歌的身份驗證代碼，該代碼用于保護在線銀行、電子郵件帳戶以及某些交易所的加密貨幣帳戶的安全。已有包括Coinbase，Binance等在內的25個加密貨幣交易所被列入該木馬病的主要攻擊目標。（CryptoPotato）[2020/3/3]

利用Yearn.Finance合約中漏洞，反復將DAI與USDT從3crv中存入和取出操作，目的是獲得更多的3Crv代幣。這些代幣在隨后的3筆轉換代幣交易中轉換為了USDT與DAI穩定幣。完成5次重復的DAI與USDT從3crv中存取操作后，償還閃電貸。

CertiK安全技術團隊當前正在審查Yearn.Finance中存在的漏洞，更多漏洞細節將在后續分析中進行詳解。

總結

加密世界的交互往往都伴隨著一定的風險，而投資于安全的項目會收到更加長遠的回報。

而高收益必定伴隨著高風險，此次漏洞的爆發同樣是DeFi領域的一個警示。

Tags：CERERTEFIDEFIBloceryGEERT價格PINETWORKDEFIDefis

瑞波幣