加密貨幣交易所 加密貨幣交易所
Ctrl+D 加密貨幣交易所
ads
首頁 > USDT > Info

Balancer再遭攻擊 DeFi還有未來嗎?_BAL:CER

Author:

Time:1900/1/1 0:00:00

繼6月29日凌晨2點CertiK捕獲Balancer攻擊事件后《空手套以太:Balancer攻擊解析》, 北京時間6月29日下午8點整與11點23分,CertiK天網系統(Skynet) 再次檢查到兩起類似原理的Balancer DeFi合約異常,兩起異常分別發生在區塊數10360609與區塊數10361515。與29日單純利用合約漏洞的攻擊不同,這次黑客巧妙利用了Compund金融模型,無中生有了大量COMP代幣。明星DeFi項目,一日內連遭三次攻擊,讓支持者不禁擔憂起整個DeFi市場的未來。

天網掃描

事件概述

6月29日,攻擊者從dYdX閃電貸中借到代幣并鑄幣后,通過uniswap閃貸獲得cWBTC和cBAT代幣,然后將借得的代幣在Balancer代幣池中大量交易,從而觸發Compound協議的空投機制,獲得空投的COMP代幣,再使用Balancer有漏洞的gulp()函數更新代幣池數量后,取走所有代幣并歸還閃電貸。攻擊者相當于利用了Compound協議的金融模型、閃電貸和Balancer代碼漏洞,無中生有了COMP,總獲利約為11.5ETH。

BALD部署者已移除BALD/ETH池中所有流動性:8月1日消息,據Lookonchain監測顯示,BALD 部署者已經移除了 BALD/ETH 的所有流動性。BALD 部署者將 9,385 ETH 轉為 Base,現在他持有 12,433 ETH,在 2 天內賺取 3,048 ETH(570 萬美元)。[2023/8/1 16:09:57]

CertiK攻擊者心理畫像

6月29日下午8點與11點的兩起攻擊使用了相同的手法并且使用了同一個收款地址,確認為一個團隊。雖然這兩次攻擊與29日凌晨2點的攻擊均利用了Balancer合約的gulp(),但是攻擊手段不同,后兩次攻擊利用了Compound的金融模型的漏洞而不是單純的代碼漏洞。另外,后兩次攻擊的獲利遠小于首次攻擊獲利,實施首次攻擊的黑客沒有再次攻擊的動機。

CertiK判斷后兩次攻擊是在首次攻擊14小時后,利用類似原理實施的模仿攻擊。

DeFi安全新挑戰

加密支付基礎設施公司XanPool完成4100萬美元融資,Target Global參投:11月25日消息,據外媒報道,提供法幣和加密貨幣兌換服務的加密支付基礎設施公司XanPool已完成4100萬美元融資,報道稱這筆融資交易于2022年二季度完成,其中倫敦新晉投資方Target Global參投3500萬美元,現有投資方Antlet Elevate參投600萬美元,其估值已達4億美元。

XanPool公司將利用新資金加速歐洲、中東、北非和拉丁美洲市場擴張,并在泰國建立研發中心。(福布斯)[2022/11/25 20:44:55]

這次的攻擊事件主要利用了金融模型設計上的漏洞,而不是代碼層面的漏洞。這種由DeFi市場孕育出的新型攻擊模式,讓大部分區塊鏈安全公司僅有的“代碼審計”服務變得毫無用處。

只針對代碼層面而不能對抽象模型進行分析的、傳統的安全技術完全應對不了DeFi帶來的新挑戰。而沒有模型層面保護的DeFi,只能淪為熟知DeFi金融模型的黑客的提款機。

印度金融科技公司Slice完成2.2億美元融資,Tiger Global領投:11月29日消息,印度金融科技公司Slice完成2.2億美元融資,Tiger Global Management和Insight Partners領投,Moore Strategic Ventures、Gunosy Capital、Sunley House Capital和Blume Ventures參投。Slice估值超10億美元,成為印度最新的獨角獸。新資金將用于擴大招聘、提供新產品和服務,以及拓展數字支付市場。Slice于2019年推出信用卡服務,提供現金返還和靈活的支付選項,目前每月發卡量超20萬張,已成為印度頭部信用卡提供商。(彭博社)[2021/11/29 12:38:37]

DeFi安全預警是弊大于利嗎?

這次的模仿攻擊,讓很多人對區塊鏈安全公司產生了質疑:安全公司的分析文章會不會教會更多人攻擊的方法?為什么各種安全預警沒有改善安全環境?我們真的還需要安全預警嗎?

CertiK的觀點是,不僅需要安全預警,還要做到更快更深入!

不同于傳統軟件系統,區塊鏈所有的交易、所有的合約調用都是公開透明的。攻擊事件發生后,區塊鏈上的交易記錄對于黑客而言就是最直白的教科書,區塊鏈安全公司要搶在模仿攻擊之前發布預警,保護相關公司。但是最近頻繁的攻擊事件,再一次證明安全預警是遠遠不夠的,并不能改變當前DeFi乃至整個區塊鏈的安全現狀。

BKEX Global將于今日17:00上線MOON:據BKEX Global公告,BKEX Global將于2020年9月12日17:00(UTC+8)上線MOON(MoonSwap),開放交易對:MOON/USDT。 MOON團隊開發了MoonSwap,并且發行了MOON代幣。它將Layer2解決方案引入AMM,讓持有以太坊鏈上資產的用戶也能享受到“高速和0GAS費”的體驗,同時還能實現更高的資產利用率。[2020/9/12]

DeFi安全還有機會嗎?

為了根本性改變DeFi的安全現狀,我們必須針對新型智能合約(比如DeFi、IoT) 引入全新的安全機制。

這種安全機制必須要能進行模型層的分析,必須能夠適應新型合約的發展,盡量做到在攻擊時攔截,而非在攻擊后預警。CertiK團隊正在研發基于CertiK Chain的新型安全DeFi機制 —— CeDeFi (Certified DeFi)—— 即可信DeFi,相信可以在未來徹底改變當前被動的安全現狀。

攻擊還原

以下午11點對Balancer的攻擊為例:

步驟1:從dYdX處通過閃電貸形式借得WETH、DAI和USDC三種代幣,數額分別是103067.20640667767、5410318.972365872和5737595.813492。

BKEX Global將于今日17:30上線KEEP:據BKEX Global公告,BKEX Global將于2020年9月1日17:30(UTC+8)上線KEEP(Keep Network),開放交易對:KEEP/USDT。

Keep Network是以太坊的隱私層,可以用于離線保存隱私數據,幫助合約利用公有鏈的全部潛力。[2020/9/1]

步驟2:使用步驟1中得到的代幣,對三種代幣 (cETH、cDAI和cUSDC) 進行鑄幣操作 (mint)。

步驟3:使用uniswap通過閃電貸形式,借得 (borrow) 并鑄造 (mint) cWBTC,cBAT代幣。

步驟4:攜帶獲得的cWBTC與cBAT加入代幣池,此時攻擊者擁有的cWBTC和cBAT的數目分別為4955.85562685和55144155.96523628。

步驟5:分別用cWBTC和cBAT在該代幣池中進行大量的交易,從而觸發Airdrop操作,將無歸屬的COMP分發到該代幣池中。

步驟6:調用gulp()函數將當前的COMP數目同步到Balancer智能合約中,并將cWBTC、cBAT以及額外被加入代幣池中的COMP取出。退出代幣池時,攻擊者擁有的cWBTC和cBAT的數目同樣為4955.85562685和55144155.96523628。但是由于在代幣池中通過大量交易產生的額外COMP,攻擊者獲得了額外的COMP代幣。 此處攻擊者還可以選擇直接進入其他代幣池中,復用步驟1到步驟6的攻擊方法,獲得額外COMP代幣。

步驟7:償還uniswap和dYdX的閃電貸,離場。

步驟8:攻擊者仍舊可以采用同樣的方法(步驟1到步驟7),對其他代幣池發動攻擊。攻擊的機制類似,但是通過閃電貸借得和用來進行攻擊的代幣種類略有不同。

參考鏈接:

新聞:

https://cointelegraph.com/news/hacker-steals-balancers-comp-allowance-in-second-attack-within-24-hours

中文新聞:

https://www.chaindd.com/3330102.html

原始分析:

https://twitter.com/frenzy_hao/status/1277597671847411712

29日下午8點攻擊交易歷史記錄:

https://ethtx.info/mainnet/0xa519835c366bc77d93c9d3e433e653bfc46120688ad146b383f4dd93342cad29

29日下午11點攻擊交易歷史記錄:

https://ethtx.info/mainnet/0x70959fef9d7cc4643a0e885f66ec21732e9243ffd3773e4a9ea9b5ab669bab4d

了解更多

General Information: info@certik.org

Audit & Partnerships: bd@certik.org

Website: certik.org

Twitter: @certik.org

Telegram: t.me/certik.org

Medium:medium.com/certik

幣乎:bihu.com/people/1093109

Tags:BALCERCOMDEFSuper Rare Ball Sharescere幣最新價格comp幣中文名DeFiSocial Gaming

USDT
7.18早間行情:行情震蕩反彈暫消除進一步的下行風險

昨晚行情整體又進行了一波幾十個點的小反彈,震蕩區間也稍微上移了一個階段,且試探過前期壓力轉支撐的位置并確認有效,整體依然可以看作是區間大一些的震蕩,但確實暫時緩解了進一步的下行風險.

1900/1/1 0:00:00
云南自貿試驗區紅河片區利用互聯網+區塊鏈技術助推中越邊民互市貿易_區塊鏈:比特幣富了多少中國人

中國(云南)自由貿易試驗區紅河片區(以下簡稱紅河片區)掛牌成立以來,立足“沿邊”、“跨境”特點,圍繞147項試點任務,以敢為人先的膽識和魄力,敏銳把握重大機遇,大膽闖、大膽試、自主改.

1900/1/1 0:00:00
金色前哨 | 俄羅斯官員:俄羅斯首部加密法案或于2021年初生效_加密貨幣:今天加密貨幣為何暴跌

根據RBC的報道,俄羅斯國家杜馬金融市場委員會主席阿納托利?阿克薩科夫(Anatoly Aksakov)表示,俄羅斯第一部加密法案“將于2021年1月1日通過”.

1900/1/1 0:00:00
美國CFTC鼓勵比特幣期貨?嘉楠耘智高層變動影響如何?_FTC:數字資產管理

據火幣行情顯示,昨日晚間BTC價格拉升,最高觸及9470隨后回調,今日上午再度上沖未過前高開始下落,整體形成震蕩下行的回調格局。日線圖均線聚攏,形成上升通道.

1900/1/1 0:00:00
2020下半年最值得關注的平臺幣:絕對通縮HT_穩定幣:COM

黃金和比特幣這類總量有限,并且資源稀缺的資產具有有很好的投資價值。從長期投資的價值判斷來說,總量通縮并且有強價值支撐的資產,或者總量恒定但具有強價值注入的資產,其長期價值都值得看好.

1900/1/1 0:00:00
央行數字貨幣越來越近 已與滴滴、美團、B站等多家互聯網公司展開合作_數字貨幣:CBD

近年來,央行在法定數字貨幣領域進展不斷,數字貨幣時代越來越近。多方消息顯示,目前央行已與美團、B站、滴滴等多家互聯網公司展開合作,推進數字經濟與實體經濟融合發展.

1900/1/1 0:00:00
ads