GVC:簡析Clipper：主打小額交易市場的DEX項目

整理：布蘭

當前，大多數加密貨幣交易所都在追求高流動性來使交易者能以較低的滑點執行大宗交易，但這對于散戶投資者而言則需要支付更高的交易費用才能激勵如此大量的流動性，可他們卻無法享受到減少滑點的好處。

在這種情形下，越多的流動性會更加傷害散戶投資者。因此對于小額交易，在找到最佳交易價格方面，較低的交易費用勝過略高的滑點。

而Clipper就是專為散戶投資者設計的新型去中心化交易所，該協議旨在為交易者提供最優惠的小額交易價格。該項目推出以來得到了PolychainCapital、0xLabs、1inch、DeFiAlliance、RobertLeshner、NavalRavikant等的支持。?

Beosin：SEAMAN合約遭受漏洞攻擊簡析:金色財經報道，根據區塊鏈安全審計公司Beosin旗下Beosin EagleEye 安全風險監控、預警與阻斷平臺監測顯示，2022年11月29日，SEAMAN合約遭受漏洞攻擊。Beosin分析發現是由于SEAMAN合約在每次transfer函數時，都會將SEAMAN代幣兌換為憑證代幣GVC，而SEAMAN代幣和GVC代幣分別處于兩個交易對，導致攻擊者可以利用該函數影響其中一個代幣的價格。

攻擊者首先通過50萬BUSD兌換為GVC代幣，接下來攻擊者調用SEAMAN合約的transfer函數并轉入最小單位的SEAMAN代幣，此時會觸發合約將能使用的SEAMAN代幣兌換為GVC，兌換過程是合約在BUSD-SEAMAN交易對中將SEAMAN代幣兌換為BUSD，接下來在BUSD-GVC交易對中將BUSD兌換為GVC，攻擊者通過多次調用transfer函數觸發_splitlpToken()函數，并且會將GVC分發給lpUser，會消耗BUSD-GVC交易對中GVC的數量，從而抬高了該交易對中GVC的價格。最后攻擊者通過之前兌換的GVC兌換了50.7萬的BUSD，獲利7781 BUSD。Beosin Trace追蹤發現被盜金額仍在攻擊者賬戶（0x49fac69c51a303b4597d09c18bc5e7bf38ecf89c），將持續關注資金走向。[2022/11/29 21:10:04]

Clipper?目前而言支持穩定幣和wBTC或ETH之間的交易，具體是通過以下幾種方式優化交易費用和滑點之間的權衡：

慢霧：GenomesDAO被黑簡析:據慢霧區hacktivist消息，MATIC上@GenomesDAO項目遭受黑客攻擊，導致其LPSTAKING合約中資金被非預期的取出。慢霧安全團隊進行分析有以下原因：

1.由于GenomesDAO的LPSTAKING合約的initialized函數公開可調用且無權限與不可能重復初始化限制，攻擊者利用initialized函數將合約的stakingToken設置為攻擊者創建的虛假LP代幣。

2.隨后攻擊者通過stake函數進行虛假LP代幣的抵押操作，以獲得大量的LPSTAKING抵押憑證。

3.獲得憑證后再次通過initialized函數將合約的stakingToken設置為原先真是的LP代幣，隨后通過withdraw函數銷毀LPSTAKING憑證獲取合約中真實的LP抵押物。

4.最后將LP發送至DEX中移除流動性獲利。

本次事件是因為GenomesDAO的LPSTAKING合約可被任意重復初始化設置關鍵參數而導致合約中的抵押物被惡意耗盡。[2022/8/7 12:07:06]

第一，將流動資金池上限設置為2000萬美元。由于流動性池較小，該協議必須支付較少的費用來激勵流動性提供者，最終使日常交易者的交易費用保持在較低水平。?

慢霧：BSC項目Value DeFi vSwap 模塊被黑簡析:據慢霧區情報，幣安智能鏈項目 Value DeFi 的 vSwap 模塊被黑，慢霧安全團隊第一時間介入分析，并將結果以簡訊的形式分享，供大家參考：

1. 攻擊者首先使用 0.05 枚 WBNB 通過 vSwap 合約兌換出 vBSWAP 代幣；

2. 攻擊者在兌換的同時也進行閃電貸操作，因此 vSwap 合約會將兌換的 vBSWAP 代幣與閃電貸借出的 WBNB 轉給攻擊者；

3. 而在完成整個兌換流程并更新池子中代幣數量前，會根據池子的 tokenWeight0 參數是否為 50 來選擇不同的算法來檢查池子中的代幣數量是否符合預期；

4. 由于 vSwap 合約的 tokenWeight0 參數設置為 70，因此將會采用第二種算法對池子中的代幣數量進行檢查；

5. 而漏洞的關鍵點就在于采用第二種算法進行檢查時，可以通過特殊構造的數據來使檢查通過；

6. 第二種算法是通過調用 formula 合約的 ensureConstantValue 函數并傳入池子中緩存的代幣數量與實時的代幣數量進行檢查的；

7. 在通過對此算法進行具體分析調試后我們可以發現，在使用 WBNB 兌換最小單位(即 0.000000000000000001) vBSWAP 時，池子中緩存的 WBNB 值與實時的值之間允許有一個巨大的波動范圍，在此范圍內此算法檢查都將通過；

8. 因此攻擊者可以轉入 WBNB 進行最小單位的 vBSWAP 代幣兌換的同時，將池子中的大量 WBNB 代幣通過閃電貸的方式借出，由于算法問題，在不歸還閃電貸的情況下仍可以通過 vSwap 的檢查；

9. 攻擊者只需要在所有的 vSwap 池子中，不斷的重復此過程，即可將池子中的流動性盜走完成獲利。詳情見原文鏈接。[2021/5/8 21:37:37]

第二，使用獨特的AMM變體來最大限度地減少滑移。Clipper的AMM變體在數學上比恒定產品做市商少，后者是大多數DEX使用的默認AMM模型。此外，Clipper不是為每個資產對維護一個流動性池，而是為任意數量的資產維護一個單一的合并流動性池，這提高了資本效率并降低了相對于池規模的滑點。?

第三，運行高效的鏈上計算以減少gas費用。該協議使用一種新穎的封閉形式的不變量進行優化，它在鏈上計算很簡單，因此需要較少的gas費用。與Clipper交易大約需要100k單位的gas，與當今大多數領先的DEX相當。?

第四，通過外部預言機更新資產價格。當LP代幣的價格相對于它們存入流動性池時發生變化時，就會發生永久性損失。無常損失也傷害了日常交易者，因為他們必須經常支付更高的交易費用來抵消損失并吸引足夠的流動性。為了緩解這種情況，Clipper通過考慮來自預言機的外部市場價格來更新其流動性池中的資產價格，而不是完全依賴套利者來修正價格。?

據了解，Clipper項目由ShipyardSoftware發起，該團隊構建了一套針對各類加密投資者和特定用例的DEX。Shipyard團隊在在線市場、NFT和自動化做市的學術研究方面擁有豐富的經驗。

該協議由一個去中心化自治組織管理，該DAO目前由一個多重簽名錢包組成，包括Shipyard、Polychain和其他社區成員作為簽名者。隨著項目的成熟，Clipper打算通過原生代幣由社區進行治理。?

Clipper?目前仍處于測試階段，擁有1700萬美元的流動性池，并已與DEX聚合器1inchNetwork集成。未來，Clipper打算擴大其流動性提供者的集合以向社區開放，推出治理令牌，與其他DEX聚合器集成，并擴展到其他鏈，如Polygon和第2層協議。?

總結來說，Clipper的定位是為向散戶投資者提供最佳交易價格，幫助他們更容易進入加密生態系統。

參考資料：https://www.veradiverdict.com/p/dex-for-the-people

Tags：GVCSWAPMANAMAAGVCDigiSwapEGGMANmetamask官網下載2023年最新版本

屎幣