BEA:利用閃電貸惡意投票，黑客抽空Beanstalk上億資產

作者：茉莉，蜂巢Tech

北京時間4月17日晚10時許，去中心化穩定幣協議Beanstalk披露「遭受了攻擊」。據多家區塊鏈安全機構披露的信息，該協議遭受了閃電貸攻擊，損失了超1億美元的加密資產，攻擊者從中獲利近8000萬美元。

攻擊事件發生后，Beanstalk協議的加密資產鎖倉價值歸零，原本錨定1美元價值的穩定幣BEAN一度跌至0.063美元。

Beanstalk后續發布在其Discord社群內容顯示，攻擊者在借貸平臺Aave上完成閃電貸，從而積累了大量該協議的治理代幣STALK；借助STALK，攻擊者快速通過了一項「惡意治理提案」，從而將存儲在協議內的所有資金轉移。這一攻擊過程陸續得到了其他區塊鏈安全機構的分析印證。

成都鏈安：國內天穹數藏宣稱遭黑客攻擊，黑客利用虛假余額購買盜取用戶的藏品:5月17日消息，據成都鏈安“鏈必應-區塊鏈安全態勢感知平臺”安全輿情監控數據顯示，天穹數藏宣稱遭黑客攻擊，藏品售價異常高達近千萬元。根據平臺公告稱：平臺數據遭遇大量惡意攻擊，黑客利用虛假余額購買盜取用戶的藏品，導致數據異常，目前已恢復，平臺已第一時間報警處理。成都鏈安安全團隊初步分析，導致本次攻擊的原因猜測為：攻擊者通過傳統網絡安全攻破了平臺方數據庫，惡意篡改賬戶余額，導致大量用戶高價掛單仍可成交，最終導致數據異常。成都鏈安安全團隊建議：

1、 國內數字藏品平臺方在設計、實現和部署的過程中，要關注通信與網絡安全、主機安全、數據庫安全、移動安全等傳統安全領域，做好安全防護；

2、 國內數字藏品平臺方在運維的過程中，要做好金融風控的設計和實施，避免出現大規模資金異動而不自知的情況；

3、 數字藏品消費者在選擇交易平臺時，需要關注平臺合規風險，注意保障自身財產安全；

4、 數字藏品消費者警惕炒作風險和市場泡沫，避免泡沫破裂時造成財產損失。[2022/5/17 3:22:51]

對于如何挽回損失，Beanstalk尚未公開回應。

聲音 | 長沙理工大學談傳生：建議利用區塊鏈等技術建立科技金融公共信息服務平臺:據華聲在線消息，8月1日，湖南省中國特色社會主義理論體系研究中心長沙理工大學基地特約研究員、長沙理工大學“五四精神”研究中心主任談傳生發表理論文章《提升金融綜合服務能力 推動科技創新企業發展》。文章指出，結合湖南省情，為提升金融綜合服務能力，有效破解科技創新企業融資瓶頸助力，建議充分運用區塊鏈、云計算等新技術，整合銀行、科技擔保機構、創投機構和科技企業孵化器等機構數據，建立開放、共享共建的科技金融公共信息服務平臺。[2019/8/1]

攻擊者利用閃電貸通過惡意提案

根據DefiLlama數據，4月16日，鎖倉在Beanstalk協議的加密資產還價值3200萬美元，一天后，衡量這一價值指標的TVL因為一場黑客攻擊直接變成了0。

聲音 | 陳君石：需利用區塊鏈提升消費者對食品供應的信任:昨日，中國食品安全30人論壇——區塊鏈技術與食品安全研討會在京召開。中國工程院院士陳君石指出，近年來我國食品安全總體形勢呈穩中向好的趨勢。然而，雖然沒有出現過重大食品安全事件，但食品安全問題仍存，主要包括食源性疾病和消費者對于食品信息的誤解等。

陳君石表示，調查表明，消費者仍然擔心我國的食品供應不安全，信任問題是當下亟待解決的問題。對此，需要探索各種模式來進行行之有效的溝通和交流，以提升消費者對于食品安全的認識，讓他們遠離謠言的侵害。

他認為，區塊鏈技術在向消費者傳遞正確信息的方面具有很大優勢。如何來利用區塊鏈增強消費者對于食品供應的信心，是今后需要不斷進行研究的問題，希望能引起大家的重視。[2018/12/7]

Beanstalk于2021年8月構建在以太坊，它是一個去中心化的穩定幣協議，其發行的美元穩定幣名為BEAN，價值相當于1美元。該協議宣稱它是使用信用而非抵押品構建的穩定幣發行協議，能夠通過其命名為「Field」的去中心化信貸工具維持BEAN與美元掛鉤。該協議還發行了一個治理代幣STALK。

聲音 | 工信部副部長：充分利用現代信息技術推進服務型制造:據財聯社報道，在主題為“賦能制造，服務未來”的“第二屆中國服務型制造大會”上，工業和信息化部黨組成員、副部長王江平出席大會并講話。王江平強調，為了推動服務型制造在新階段實現新發展，要充分利用現代信息技術推進服務型制造。現代信息技術正在全面深刻的影響制造業，尤其是5G技術商用即將到來，區塊鏈、人工智能技術向各行業滲透，使服務型制造成為必然，變得容易，只有主動擁抱，才能獲得先機。[2018/10/16]

BEAN在13分鐘內嚴重脫錨

Beanstalk在推特上披露遭受攻擊的時間是4月17日晚10時30分許，但從該協議支撐的穩定幣BEAN的脫錨時間看，當晚8點39分后，厄運就開始了。Coingecko數據顯示，8點39分時，原本錨定1美元的BEAN開始下跌，13分鐘后，BEAN跌至0.2美元，跌幅達80%，而當晚，BEAN一度跌至0.063美元，最大跌幅為93.7%。

動態 | 印度特倫甘納邦將利用區塊鏈技術簡化政府服務:據cointelegraph消息，印度特倫甘納邦計劃與一些區塊鏈公司簽署諒解備忘錄。政府官員稱，該措施旨在為國家提供的公共服務提升透明度和效率。[2018/7/27]

多家安全機構分析確認，Beanstalk遭遇了閃電貸攻擊。區塊鏈安全機構PeckShield追蹤了這次攻擊的數據稱，攻擊者盜取了至少8000萬美元的加密貨幣。另據安全機構CertiK披露，閃電貸攻擊耗盡了Beanstalk約1億美元的加密資產。

Beanstalk后續發布在其Discord社群內容顯示，攻擊者在借貸平臺Aave上完成閃電貸，從而積累了大量該協議的治理代幣STALK；借助STALK，攻擊者快速通過了一項「惡意治理提案」，從而將協議內的資金轉移。

在推特上，區塊鏈數據分析機構TheBlock的數據研究總監IgorIgamberdiev給出了攻擊過程，他稱，攻擊者的資金來自Synapse協議橋，他們先是為Beanstalk創建了一個編號為「BIP-18」的提案，宣稱要向烏克蘭捐贈25萬BEAN。這個提案正是Beanstalk所指的「惡意提案」，為后續的閃電貸攻擊做好了準備。

Igor稱，攻擊者隨后使用閃電貸獲得了來自Aave的3.5億DAI、5億USDC、1.5億USDT，來自Uniswap的3200萬BEAN，以及來自SushiSwap的1160萬LUSD，這些穩定幣用于使用BEAN為Curve池添加流動性，從而為BIP-18提案進行治理投票；提案通過后，Beanstalk協議上的所有資金被轉移到了攻擊者地址。

「下一步，攻擊者取消流動性，償還閃電貸，并將所有收到的資金轉換為24800WETH，這些資金流向了混幣工具TorndaoCash。」Igor表示。

閃電貸攻擊和漏洞利用最常威脅DeFi

Beanstalk攻擊事件后，區塊鏈安全機構CertiK也在推特上表示，黑客能夠完成攻擊的根本原因是Beanstalk系統中用于投票的資金池可以通過閃電貸來創建，缺乏防閃電貸機制導致攻擊者能夠借用協議支持的代幣并用投票的方式通過了惡意提案。

Beanstalk在事發后的Discord總結中也承認，協議「沒有使用防閃貸措施來確定投票支持BIP的STALK百分比」，這正是被黑客利用的漏洞。

閃電貸本身是構建在區塊鏈上的、獨屬于DeFi金融系統中加密資產貸款方式，它是一種無抵押貸款類型，具有能在鏈上快速執行的特點，常常被加密資產愛好者用于套利、抵押品交換或尋求低交易費用。

但這種借貸方式因數次成為攻擊目標而被統稱為「閃電貸攻擊」，它是由于DeFi對價格預言機的依賴而引起的，區塊鏈數據服務機構Chainalysis解釋，「安全但緩慢的預言機很容易被套利；快速但不安全的預言機很容易受到價格操縱。」

據公開資料顯示，僅2020年的60起DeFi攻擊事件中，至少有10起事件的損失系閃電貸攻擊所致，包括bZx、Balancer、Harvest、Akropolis等協議都遭受過閃電貸攻擊。

而借閃電貸影響DeFi投票治理的事件也并不是沒有出現過，2020年，一個名為BProtocol協議的就曾通過閃電貸獲得大量MKR代幣，試圖通過借貸來的選票加快其通過基于MakerDAO的投票結果。

進入2022年，漏洞利用和閃電貸攻擊仍是DeFi領域最常見的威脅。

今年4月，區塊鏈安全機構成都鏈安發布的《安全研究季報》顯示，2022年第一季度的區塊鏈領域，DeFi項目仍是黑客攻擊的重點領域，共發生19起安全事件，約60%的攻擊發生在DeFi領域；而在攻擊手法上，合約漏洞利用和閃電貸最為常見，約50%的攻擊方式為合約漏洞利用，24%的攻擊方式為閃電貸。

如今，Beanstalk的安全事件顯示，黑客發起的閃電貸攻擊已經不僅僅局限于利用預言機來操縱價格了，一旦協議設置的防線不足，治理機制的漏洞也可能被黑客利用，通過閃電貸來破壞協議的安全，偷走用戶的資產。

4月18日凌晨，Beanstalk在推特上呼吁，請求DeFi社區和鏈上分析專家協助限制攻擊者通過中心化交易平臺提取資金的能力。截至發稿前，該協議對如何處理用戶損失尚未給出答復。

Tags：BEATALKSTATALBEACH幣BNBeanstalk星鏈幣starl下架TALIS

BNB價格