譯者注:近日,Compounder.finance用戶被盜走超過1200萬美元的資金,讓人吃驚的是,這次攻擊事件的罪魁禍首并非黑客,而是項目方本身,這也是目前性質最惡劣的DeFi跑路事件,原文由rekt團隊撰寫。
這里是罪人的希望,因為他們的罪過在匿名斗篷的保護下被遺忘了。
Rekt來到這里是為了照亮罪行,揭露攻擊者的方法,而我們好以此為鑒。
Compounder.finance的網站及官方Twitter賬戶都被項目方刪除了,而一份完整的安全審計報告為我們的調查提供了唯一的線索。
RektHQ現在正忙著呢,我們開始調查的時候事件已經發生了幾個小時…當我們聯系審計方時,他們似乎并不希望看到我們。
“請不要發那樣該死的內容,你真的嚇到我了,weakerhands可能會報告這件事或一些狗屎。”
在我們提供了一些保證之后,Solidity.finance向我們提供了他們與compounder.finance交談的完整聊天記錄。
其他受害者也向我們伸出援手,展示了他們與compounder管理者進行的早期交談,并表達了他們的擔憂。
數據:比特幣非流動性供應量觸及1517萬枚,創歷史新高:金色財經報道,區塊鏈分析公司Glassnode數據顯示,當前比特幣主導地位仍在上升,非流動性供應量已觸及1517萬枚,創下歷史新高。非流動性供應量是指實體持有不用于穩定交易或出售的比特幣數量。截至目前,72%的比特幣流通供應量是非流動性的,此外過去30天非流動比特幣數量增長了13.1萬枚,創下2023年內最快增速。(Cryptoslate)[2023/6/14 21:36:57]
Solidity.finance告訴我們,他們僅與compounder管理員進行了簡短交談,他們確實審核了合約,并且他們在文檔中指出,盡管資金池有一個時間鎖控制,但這個時間鎖并沒有提供任何保護。
以下內容來自他們的聊天記錄:
在我們調查的這個階段,solidity.finance仍然是存在疑點的,我們想知道他們為何會認為compounder.finance團隊看起來“非常值得信賴”。
在閱讀聊天記錄時,我們注意到盡管帳戶被刪除了,但保留了一個用戶名“keccak”。
盡管solidity.finance表示keccak已經刪除了他們的帳戶,但我們已經找到了他們的帳戶,并正在嘗試聯系。
6,568,255 MATIC從Kraken轉移到Bitfinex:金色財經報道,據Whale Alert監測數據顯示,北京時間2023年2月26日06:29,6,568,255 MATIC(價值約8,043,921 美元)從Kraken轉移到Bitfinex。[2023/2/26 12:29:59]
不幸的是,Vlad不想通電話,所以我們給他們發了一條消息,但并沒有期望他能夠回應。
直到……
Vlad準備好交談了,不幸的是,他并不想合作。
我們仍可以通過@keccak在Telegram上找到Vlad/keccak,但是他不再回應,并刪除了他賬戶中的圖片。
我們將他的舊頭像附在此處,供大家參考和調查。
我們被告知,圖中的狼來自一部著名的烏克蘭動畫片,上面寫著“comebyifsomethingcomesup”,而左邊則是反核武器的海報。
不幸的是,這對受影響的用戶并沒有太多幫助。
在認清Vlad不想談話的情況后,我們訪問了Compounder的官方電報群,而里面的人們都很歡迎我們。
Liquity原生代幣LQTY飆升45%至六個月高點:金色財經報道,在紐約監管機構下令Paxos停止發行BUSD后,去中心化穩定幣借貸機構Liquity的原生代幣LQTY價格飆升。根據圖表平臺TradingView的數據,該代幣上漲45%,至1.07美元的六個月高點,創下至少一年來的最大單日百分比漲幅。
據了解,Liquity是一種基于以太坊的協議,以至少110%的ETH抵押提供無息貸款。LQTY是由該協議創建的獎勵代幣,用于激勵用戶、前端和穩定性提供者。(CoinDesk)[2023/2/14 12:06:12]
滾動瀏覽聊天內容時,我們看到了由官方跑路行為所引發的典型反應。
即使是大玩家也遭到了這次跑路事件的重創,受害者們成立了一個調查小組,其中帶頭人損失了100萬美元,他們試圖進行報仇。
帖子可以在這里找到。
https://twitter.com/defiyield_info/status/1333731633393004545?s=20
統計數字
作為調查的一部分,我們找到了Solidity.finance以及來自StakeCapital的@vasa_develop,并要求他們合作創建一份完整的事后分析報告。
雅達利公司與Pixels合作推出NFT藝術品:金色財經報道,視頻游戲公司Atari現在允許其NFT系列的持有者通過與按需打印公司Pixels的新合作,打印有框的印刷品和海報。雅達利NFT持有者可以將他們的以太坊錢包連接到AtariPrints.com,以創建他們的NFT的物理版本,有五種不同的尺寸。
雅達利一直是web3空間的支持者。2021年9月,雅達利的區塊鏈主管Manfred Mantschev表示,希望利用它在Decentraland和The Sandbox建立的虛擬世界中擁有的 \"土地 \"進行投資。(the block)[2022/12/7 21:28:45]
以下數據來自他們的報告。
被盜取的資產:
8,077.540667WEth;
1,300,610.936154161964594323yearn:yCRV金庫;
0.016390153857154838COMP;
105,102,172.66293264CompoundUSDT;
97,944,481.39815207CompoundUSDCoin;
數據:Polygon鏈上NFT交易總額過去7日增長約194%:10月30日消息,據Cryptoslam數據顯示,當前Polygon鏈上NFT交易額為4.04億美元,過去7日交易額為762萬美元,增長了193.86%,交易數量為3.7萬筆,增長了145%,交易地址有8978個,與之前持平。[2022/10/30 11:58:08]
1,934.23347357CompoundWBTC;
23.368131489683158482Aave計息YFI;
6,230,432.06773805CompoundUniswap;
跑路后,官方將資金轉移到了以下這些錢包:
https://etherscan.io/address/0x944f214a343025593d8d9fd2b2a6d43886fb24741,800,000DAI;
https://etherscan.io/address/0x079667f4f7a0b440ad35ebd780efd216751f07585,066,124.665456504419940414DAI,39.05381415WBTC,4.38347845834390477CP3R,0.004842656997849285COMP,0.000007146621650034UNI-V2。
部署者通過Tornado.cash隱藏其資金來源,并向7個不同的地址發送了ETH,其中大部分都只有一筆交易。然而,其中有一個地址在11月19日、20日、22日以及23日分別收到了4筆付款。該地址的大部分資金都來自一個持有超過100萬KORE代幣的地址。
攻擊分析
這次攻擊事件的罪魁禍首,是項目方在完成審計后在其代碼庫中添加了7個惡意策略合約。
策略合約中的非惡意withdraw函數如下所示:
注意,我們有了一些檢查,比如:
這些檢查在7份惡意策略合約中是缺失的。這允許控制者合約從策略中提取資產。
完整的跑路過程可以分為4個步驟進行解釋:
步驟1
Compounder.Finance部署者部署了包含操縱withdraw()函數的7個惡意策略。
步驟2
Compounder.Finance部署者通過Timelock交易在StrategyController中設置并批準7個惡意策略。
步驟3
Compounder.Finance部署者在StrategyController上調用inCaseStrategyTokenGetStuck(),它濫用了惡意策略的可操縱withdraw函數,將策略中的代幣轉移到StrategyController,并對7種惡意策略都執行這種操作。
步驟4
Compounder.Finance部署者在StrategyController上調用了inCaseTokensGetStuck()?,該函數將代幣從StrategyController傳輸到Compounder.Finance部署者地址。現在,Compounder.Finance部署者完全控制了用戶的資產,共計價值12,464,316.329美元。
資產已被轉移到此處列出的多個地址。
感謝@vasa_develop提供的出色分析工作。
如果你是舉報人,網絡偵探或Etherscan偵探,并且你有線索貢獻,請與我們聯系。
那應該怪誰?
經過我們的分析,我們知道這不是審計方的問題,他們盡職地完成了自己的任務,確保CompounderFinance不受外部攻擊的影響,同時他們也在審計報告和聊天群中表達了他們的擔憂。
也許他們本可以更明顯地表達出這些擔憂,但最終,最終責任還是在存儲者的身上。
盡管Compounder.finance使用了時間鎖來表明他們不會跑路,但現在我們知道,這種方法是不可信的。如果使用了它,則應建立一個自動警報系統或儀表板,以監控該地址的交易。
并且24小時的時間鎖,似乎不足以讓用戶移除自己的資金。盡管我們不能說所有匿名創始人的項目都是騙局,但幾乎所有的騙局,都是來自匿名創始人的項目。作為一個社區,我們需要警惕這些項目,尤其是那些使用Tornado.cash來隱藏資金來源的項目。
此外,審計報告的存在,不足以保證項目的安全性及合法性。審計通常更關注來自外部攻擊者的風險,而不是內部攻擊者,這也許是審計師需要改進的一個領域。
即使有審計、時間鎖以及燃燒掉的密鑰,存儲用戶總是任由項目方的擺布,他們隨時可能向市場投放大量的代幣。
來自Solidity.Finance的官方聲明
“C3PR部署了新的“策略合約”,這使得團隊可以清空用戶資金所在的策略合約。他們有延遲24小時交易的時間限制,但我們警告說,這是不夠的,因為誰會關注呢?他們在24小時前就通過這筆交易開始了這個改變:
5個小時前,他們盜走了資金。
我們主要關注的是來自外部的攻擊,我們意識到了這種風險,但其只延遲了24小時,而沒有人關注這些動作。”
我們都知道我們應該在投資前檢查智能合約,但這里的知識壁壘很高,不是每個人都知道該找什么,那些知道的人,也沒有動力去分享他們的發現。
在C3PR的例子中,知道的人很早就意識到了危險,而使跑路成為可能的代碼總是存在的。
而這次C3PR跑路事件,卷走了超過1200萬美元的用戶資金,可以說是有史以來最大的defi跑路案。
Tags:COMOMPCOMPFINCommunity Tokencomp幣值得買嗎comp幣未來價格預測Simian Finance
上升中的FilecoinBTC經過上周四“暴跌”后隨后回彈,本周持續上漲,收于19376.18美元,日內上漲6.1%,可謂暴漲暴跌.
1900/1/1 0:00:00波卡插槽拍賣在即,交易所在其中扮演怎樣的角色?12月2日19:30,「金色快閃周」直播間邀請到BiKi集團副運營總裁Jme、MXC抹茶品牌負責人ZWJ、BKEX合伙人&BKEX研究院副院.
1900/1/1 0:00:0012月5日至6日,“相信未來--2020世界區塊鏈大會·武漢”在武漢國際會展中心正式開幕。大會由巴比特主辦,并得到了武漢市政府、江漢區政府、武漢市經信局、中國信通院等部門單位的大力支持.
1900/1/1 0:00:00尊敬的用戶: Hotbit即將開啟ATRI數字資產服務,并開放ATRI理財產品。預計年化收益:10%;計息:T1.
1900/1/1 0:00:00大家晚上好,我是玩幣隊長。對于沙漠中的旅行者,最可怕的不是眼前無盡的荒漠,而是心中沒有綠洲。而對于投資失敗的交易者而言,最可怕不是一單輸贏,而是你自己內心有沒有認輸.
1900/1/1 0:00:00BTC行情分析:4小時圖來看,MA5均線上穿MA10均線金叉向上運行,K線呈七連陽狀態企穩于布林帶中軌上方運行,附圖指標來看,MACD空頭能量柱逐步縮短,并且后市有醞釀金叉之勢.
1900/1/1 0:00:00