ANC:簡析Avalanche上最有潛力的5個DApp

本文梳理自DeFi研究員TheDeFiEdge在個人社交媒體平臺上的觀點，律動BlockBeats對其整理翻譯如下：與去年年底相比，Avalanche的熱度似乎有所衰減，但根據目前的鏈上數據顯示，Avalanche生態在今年將會進一步爆發。1.Avalanche的TVL排名目前上升至第四位，并且具有不錯的Mcap/TVL比率。2.獨特錢包地址數量已超200萬個3.每日交易量每天約100萬次，并且還在增長AVAX的價格最近也漲勢兇猛，但由于宏觀環境的制約，我認為它的價格仍有滯后性。

如果你對Avalanche還不是很熟悉，它是由康奈爾大學前計算機教授EminGnSirer領導創造的Layer1公鏈，采用子網技術解決擴容性問題。Avalanche現在是市值排名第9，是不愿支付ETH高昂gas費的DeFi投資者的首選之一。你可能會問，「什么是子網？」。每個Layer1公鏈都會遇到擴容性和gas費用問題，且都有各自的解決方案。Avalanche的解決方案就是子網，可以看作是主網下的「迷你鏈」，它們允許各類dApp在自己的鏈上運行，而不會影響主網的其余部分。以太坊主網現在面臨著嚴重的堵塞和gas問題，但如果Uniswap和Opensea等大型應用能在其主網下運行自己的鏈，將能為其他所有人釋放出更多的流量。目前以太坊的擴容方案主要是Layer2公鏈，但對于用戶而言，加入Avalanche上的子網要比進入Layer2公鏈簡單得多。在過去的幾周里，我一直在研究Avalanche上最新的dApp，以下是我認為最有潛力的5個：1.TraderJoe

LendHub被黑簡析：系LendHub中存在新舊兩市場:金色財經報道，據慢霧安全區情報，2023 年 1 月 13 日，HECO 生態跨鏈借貸平臺 LendHub 被攻擊損失近 600 萬美金。慢霧安全團隊以簡訊的形式分享如下：

此次攻擊原因系 LendHub 中存在兩個 lBSV cToken，其一已在 2021 年 4 月被廢棄但并未從市場中移除，這導致了新舊兩個 lBSV 都存在市場中。且新舊兩個 lBSV 所對應的 Comptroller 并不相同但卻都在市場中有價格，這造成新舊市場負債計算割裂。攻擊者利用此問題在舊的市場進行抵押贖回，在新的市場進行借貸操作，惡意套取了新市場中的協議資金。

目前主要黑客獲利地址為 0x9d01..ab03，黑客攻擊手續費來源為 1 月 12 日從 Tornado.Cash 接收的 100 ETH。截至此時，黑客已分 11 筆共轉 1,100 ETH 到 Tornado.Cash。通過威脅情報網絡，已經得到黑客的部分痕跡，慢霧安全團隊將持續跟進分析。[2023/1/13 11:11:00]

這是Avalanche上排名第一的DEX，目前市值達2.14億美元。TraderJoe正在擺脫原先的xJOE模型，并推出新的Token經濟學模型rJOE、sJOE以及veJOE，它們每個都有不同的用例：rJOE：LaunchpadTraderJoe有一個新項目的Launchpad。如果你想獲得最近比較火的Fief工會的早期入場機會，就必須通過這個Launchpad，用戶需要先質押自己的JOE以獲得rJOE，作為進入Launchpad的憑證。sJOE：穩定幣如果用戶獲得被動收入，便可以質押JOE已獲得sJOE。這樣一來用戶就可以分享TraderJoe平臺產生的收入，并以穩定幣的形式獲得回報。veJOE：收益助推器veJOE與Curve和SpiritSwap采用的機制類似。想要獲得額外收益的DeFi投資者，可以選擇質押JOE并獲得代表收益投票權的veJOE，以此提升特定礦池的收益。我其實不是DEX的忠實粉絲，因為許多DEX的Token表現都很不理想，比如PancakeSwap、Raydium等。但或許TraderJoe的新模型會最終打破這一趨勢嗎。2.Platypus

Beosin：UVT項目被黑客攻擊事件簡析，被盜資金已全部轉入Tornado Cash:金色財經報道，據Beosin EagleEye 安全預警與監控平臺檢測顯示，UVT項目被黑客攻擊，涉及金額為150萬美元。攻擊交易為0x54121ed538f27ffee2dbb232f9d9be33e39fdaf34adf993e5e019c00f6afd499

經Beosin安全團隊分析，發現攻擊者首先利用開發者部署的另一個合約的具有Controller權限的0xc81daf6e方法，該方法會調用被攻擊合約的0x7e39d2f8方法，因為合約具有Controller權限，所以通過驗證直接轉走了被攻擊合約的所有UVT代幣，Beosin安全團隊通過Beosin Trace進行追蹤，發現被盜資金已全部轉入Tornado Cash。[2022/10/27 11:48:46]

這是Avalanche上的穩定幣AMM，與Curve一樣提供低滑點的穩定幣交易服務。Platypus得到了很多頂尖機構的支持，目前市值6800萬美元。

Beosin：ULME代幣項目遭受黑客攻擊事件簡析:金色財經報道，10月25日，據Beosin EagleEye 安全預警與監控平臺檢測顯示，ULME代幣項目被黑客攻擊，目前造成50646 BUSD損失，黑客首先利用閃電貸借出BUSD，由于用戶前面給ULME合約授權，攻擊者遍歷了對合約進行授權的地址，然后批量轉出已授權用戶的BUSD到合約中,提高價格ULME價格，然后黑客賣掉之前閃電貸借出的ULME，賺取BUSD，歸還閃電貸獲利離場。Beosin安全團隊建議用戶用戶取消BUSD對ULME合約的授權并及時轉移資金減少損失。[2022/10/25 16:38:21]

通過Platypus獲得收益的方式很多，其Token經濟學也與Curve有所不同，更加鼓勵PTP的長期持有者：方法一：質押穩定幣首先，質押你的穩定幣并賺取PTP。然后質押PTP以賺取vePTP，質押的時間越長，賺取的vePTP就越多，能進一步助推PTP的APR。但如果用戶取消質押，就會失去所有的vePTP。

慢霧：Inverse Finance遭遇閃電貸攻擊簡析:據慢霧安全團隊鏈上情報，Inverse Finance遭遇閃電貸攻擊,損失53.2445WBTC和99,976.29USDT。慢霧安全團隊以簡訊的形式將攻擊原理分享如下：

1.攻擊者先從AAVE閃電貸借出27,000WBTC,然后存225WBTC到CurveUSDT-WETH-WBTC的池子獲得5,375.5個crv3crypto和4,906.7yvCurve-3Crypto,隨后攻擊者把獲得的2個憑證存入Inverse Finance獲得245,337.73個存款憑證anYvCrv3Crypto。

2.接下來攻擊者在CurveUSDT-WETH-WBTC的池子進行了一次swap,用26,775個WBTC兌換出了75,403,376.18USDT,由于anYvCrv3Crypto的存款憑證使用的價格計算合約除了采用Chainlink的喂價之外還會根據CurveUSDT-WETH-WBTC的池子的WBTC,WETH,USDT的實時余額變化進行計算所以在攻擊者進行swap之后anYvCrv3Crypto的價格被拉高從而導致攻擊者可以從合約中借出超額的10,133,949.1個DOLA。

3.借貸完DOLA之后攻擊者在把第二步獲取的75,403,376.18USDT再次swap成26,626.4個WBTC,攻擊者在把10,133,949.1DOLAswap成9,881,355個3crv,之后攻擊者通過移除3crv的流動性獲得10,099,976.2個USDT。

4.最后攻擊者把去除流動性的10,000,000個USDTswap成451.0個WBT,歸還閃電貸獲利離場。

針對該事件，慢霧給出以下防范建議：本次攻擊的原因主要在于使用了不安全的預言機來計算LP價格，慢霧安全團隊建議可以參考Alpha Finance關于獲取公平LP價格的方法。[2022/6/16 4:32:58]

Grim Finance 被黑簡析：攻擊者通過閃電貸借出 WFTM 與 BTC 代幣:據慢霧區情報，2021 年 12 月 19 日，Fantom 鏈上 Grim Finance 項目遭受攻擊。慢霧安全團隊進行分析后以簡訊的形式分享給大家。

1. 攻擊者通過閃電貸借出 WFTM 與 BTC 代幣，并在 SpiritSwap 中添加流動性獲得 SPIRIT-LP 流動性憑證。

2. 隨后攻擊者通過 Grim Finance 的 GrimBoostVault 合約中的 depositFor 函數進行流動性抵押操作，而 depositFor 允許用戶指定轉入的 token 并通過 safeTransferFrom 將用戶指定的代幣轉入 GrimBoostVault 中，depositFor 會根據用戶轉賬前后本合約與策略池預期接收代幣(預期接收 want 代幣，本次攻擊中應為 SPIRIT-LP)的差值為用戶鑄造抵押憑證。

3. 但由于 depositFor 函數并未檢查用戶指定轉入的 token 的合法性，攻擊者在調用 depositFor 函數時傳入了由攻擊者惡意創建的代幣合約地址。當 GrimBoostVault 通過 safeTransferFrom 函數調用惡意合約的 transferFrom 函數時，惡意合約再次重入調用了 depositFor 函數。攻擊者進行了多次重入并在最后一次轉入真正的 SPIRIT-LP 流動性憑證進行抵押，此操作確保了在重入前后 GrimBoostVault 預期接收代幣的差值存在。隨后 depositFor 函數根據此差值計算并為攻擊者鑄造對應的抵押憑證。

4. 由于攻擊者對 GrimBoostVault 合約重入了多次，因此 GrimBoostVault 合約為攻擊者鑄造了遠多于預期的抵押憑證。攻擊者使用此憑證在 GrimBoostVault 合約中取出了遠多于之前抵押的 SPIRIT-LP 流動性憑證。隨后攻擊者使用此 SPIRIT-LP 流動性憑證移除流動性獲得 WFTM 與 BTC 代幣并歸還閃電貸完成獲利。

此次攻擊是由于 GrimBoostVault 合約的 depositFor 函數未對用戶傳入的 token 的合法性進行檢查且無防重入鎖，導致惡意用戶可以傳入惡意代幣地址對 depositFor 進行重入獲得遠多于預期的抵押憑證。慢霧安全團隊建議：對于用戶傳入的參數應檢查其是否符合預期，對于函數中的外部調用應控制好外部調用帶來的重入攻擊等風險。[2021/12/19 7:49:04]

Platypus平臺提供了一個受益助推計算器，你可以使用它來估算自己的收入。

方法二：為PTP提供流動性對在TraderJoe上為PTP-AVAX交易對提供流動性以獲得214%的APR。

你還可以使用BeefyFinance自動實現復利，獲得807%的APY，當然這存在額外的智能合約風險，不過我非常信任Beefy。

3.DefrostFinance

這是Avalanche上的Abracadabra，市值720萬美元。用戶將收益資產作為抵押品存入獲得H2O，這是Defrost的穩定幣。

由于0xSifu和FrogNation的問題，Abracadabra遭受了巨大的打擊，因此人們可能會尋找它的替代品。Defrost采取公平發售，沒有VC和內部人士，同時還是Ankr和ElkFinance的合作伙伴，目前正逐漸向跨鏈發展。Defrost現在也有很多不同的收益方法：方法一：FarmingMELT是Defrost的治理Token和收益分紅憑證，抵押MELT可以獲得107%的APY。

方法二：參與Defrost的H2O3CRV-f礦池首先，前往Curve換取一些DefrostH2O池。

然后返回Defrost并存入池中，提升sMELT收益。

Defrost有兩點我不喜歡：1.Defrost收益率大概是每6天10%，但領取所有獎勵需要等待54天。2.用戶必須投入大量MELT才能獲得收益助推。但無論如何，我對Defrost的團隊和Token經濟學都印象深刻。4.CrystalVale

這是DeFiKingdoms在Avalanche上的版本，目前還沒有推出。在Harmony鏈上DeFiKingdoms的市值有5.36億美元，是交易量排名第一的GameFi游戲，而Avalanche上的用戶群體比Harmony大得多。

不幸的是，CRYSTAL的空投已經結束了。用戶現在可以等CrystalVale啟動后，使用跨鏈橋將JEWEL橋接到Avalanche上，然后為JEWEL-CRYSTAL交易對提供流動性，以獲得早期4位數的APR。5.Crabada

這是一款與AxieInfinity機制相似的P2E游戲，市值1.04億美元。我之所以強調這個項目，是因為它在Avalanche上獲得極大的關注，很多人都在玩這個游戲。

總之，Avalanche今年的表現應該會很不錯，鏈上數據優異、子網將更多的普及，以及更多dApp即將推出，Avalanche正在成為一個完整的生態系統。原地址

Tags：ANCJOEAVAVALVANCATjoe幣創始人avak幣實時價格Ark Rivals

波場