比特幣行情 比特幣行情
Ctrl+D 比特幣行情
ads

NCE:成都鏈安:從balancer事件看DeFi安全問題

Author:

Time:1900/1/1 0:00:00

2019年以來,DeFi逐漸成為區塊鏈的熱點,一時間大量資金開始涌入各類DeFi項目。自Synthetix項目嶄露頭角后,DeFi項目如雨后春筍般紛紛出現在人們的視線里。但隨著DeFi的不斷發展,DeFi項目的安全問題也愈發緊急。前不久發生的Balancer被攻擊事件,攻擊者利用Balancer資金池與通縮貨幣結合產生的漏洞,盜取資金池500,000美元。而后不到24小時,balancer再次遭受攻擊,攻擊者利用Compound“借貸即挖礦”的特性,竊取了資金池中無人認領的Comp幣。

對于第一次攻擊事件,我們在前面已經有分析,感興趣的朋友可以移步。對于第二次攻擊事件,筆者覺得攻擊者的行為是介于薅羊毛和非法攻擊之間,并不能一口咬定就是非法攻擊。從一方面看,攻擊者確實是違背了Balancer合約設計的理念,利用Balancer的代碼漏洞竊取了本不屬于自己的利益。但是從另一方面看,攻擊者竊取的資金,并不是資金池內的本金,是Compound“借貸即挖礦”的特性而產生的盈利,且即使攻擊者不攻擊,Balancer合約本身也并沒有合理的將這筆錢分配給用戶。這就像一個超市每天產生的空紙盒,公司并沒有明文規定怎么處理,一般都是堆積到一定程度后,某個發現的員工拿去賣出,此員工獲得利益。這時候來了個外來的人,他發現了這些紙盒可以產生利益,所以就去應聘員工,賣出紙盒后馬上離職再去下一家。Balancer官方在第二次事件發生后,也未對此做出相對的修復措施,這也間接表明了官方的態度,官方可能更傾向于這是一種“薅羊毛”行為。

成都鏈安:Wuliangye NFT項目疑似Rug Pull,共獲利70.5個ETH:8月11日,成都鏈安鷹眼監測顯示,Wuliangye NFT項目疑似Rug Pull,官網和社群已關閉。成都鏈安安全團隊通過鏈必追-虛擬貨幣智能研判平臺追蹤發現,有595個地址購買了705個WLY NFT,項目方共獲利70.5個ETH,接著將ETH交換為111316.22個USDT,最終轉入0x28C6c06298d514Db089934071355E5743bf21d60地址(標記為Binance 14)。[2022/8/11 12:18:18]

而這次事件,總共涉及到了三個DeFi項目。Balancer、dydx和Compound。WhatisDeFi?

成都鏈安:WienerDogeToken遭遇閃電貸攻擊事件分析:據成都鏈安“鏈必應-區塊鏈安全態勢感知平臺”安全輿情監控數據顯示,WienerDogeToken遭受閃電貸攻擊。成都鏈安安全團隊對此事件進行了簡要分析,分析結果如下:攻擊者通過閃電貸借貸了2900個BNB,從WDOGE和BNB的交易對交換了5,974,259,851,654個WDOGE代幣,然后將4,979,446,261,701個代幣重新轉入了交易對。這時攻擊者再調用skim函數,將交易對中多余的WDOGE代幣重新提取出來,由于代幣的通縮性質,在交易對向攻擊地址轉賬的過程中同時burn掉了199,177,850,468個代幣。這時交易對的k值已經被破壞,攻擊者利用剩下WDOGE代幣將交易對內的2,978個BNB成功swap出來,并且將獲利的78個BNB轉到了獲利地址。

這次攻擊事件中,攻擊者利用了代幣的通縮性質,讓交易對在skim的過程中burn掉了一部分交易對代幣,破壞了k值的計算。成都鏈安安全團隊建議項目上線前最好進行安全審計,通縮代幣在與交易對的交互時盡量將交易對加入手續費例外。[2022/4/26 5:11:33]

DeFi中文意思是“去中心化金融”,旨在利用區塊鏈技術完成傳統金融中的借貸、存儲、支付等功能,縮短金融交易中的交易時間,減少交易手續費,解決跨國難等問題。目前DeFi上火熱的項目有Compound、Maker、dydx等,如下圖所示:

仙人掌CTS智能合約已通過Beosin(成都鏈安)安全審計:據官方消息,Beosin(成都鏈安)近日已完成仙人掌CTS智能合約項目的安全審計服務。

?仙人掌CTS是基于波場底層打造的一個去中心化開放金融底層基礎設施。結合跨鏈,同時包含去中心化穩定數字貨幣,去中心化預言機,去中心化保險,流動性挖礦,智能挖礦等等功能的創新和聚合,進而打造全面的去中心化金融平臺。仙人掌CTS代幣無ICO、零預挖且零私募,社區高度自治。仙人掌CTS將會在9月28日晚20點上線Justswap,并開啟流動性挖礦。

合約地址:TST5pvck2DSYXJk3hkuGH3t1AisCAT4t1s

審計報告編號:202009262149[2020/9/28]

聲音 | 成都鏈安:用戶安全意識不足、交易所安全體系不夠完善等因素造成交易所安全事件頻發:成都鏈安統計數據顯示,近期交易所安全問題時有發生。通過總結近期各種交易所安全事件和用戶丟幣事件,成都鏈安分析認為,交易所安全事件的問題來源主要有三點:1、用戶安全意識不足,導致誤入釣魚網站等進而私密信息被盜。2、交易所安全體系不夠完善,平臺自身存在安全漏洞。3.交易所外接數據服務或其他服務后,未針對不可控因素建立應急機制。[2019/8/26]

在DiFi的項目里,很多都是將傳統金融行業的工具直接搬到區塊鏈上,比如借貸、存儲。但區塊鏈和現實世界是有極大差異的,他們的底層邏輯是不同的。例如,在傳統金融領域,“信用”是作為信貸的根本條件,銀行會對一個人的信用進行評級,從而判斷是否可以放貸給他。在區塊鏈這個封閉的世界里,因區塊鏈的隱私性,地址無法關聯到人,也就不存在“信用”屬性。如果要實現“信用”,就必須要有預言機來獲取真實世界的信息。但也正是因為區塊鏈與現實世界的不同,使得DeFi可以實現一些現實世界無法實現的功能。dydx閃電貸:0抵押借出3千萬美元在balancer第一次事件中,攻擊者利用dydx借貸了3千萬美元,但是卻無需任何抵押物。這在傳統的金融領域是無法做到的,傳統金融領域的借貸方式都是以“資產抵押”或者“信用抵押”作為規避借貸風險的手段,但因為區塊鏈的特性,可以做到將一筆交易回滾,所以也就可以實現0抵押進行大額借款。dydx允許用戶進行一筆0抵押的大額借款,用戶只需在一筆交易中將借款進行歸還即可。如果用戶在一筆交易后并未將借款歸還,那么交易將被回滾,花出去的錢又可以收回來,從而規避了本金風險。雖說在一筆交易中必須歸還借款,但智能合約又允許用戶在一筆交易中進行多次操作,用戶可以在這筆交易中以低價大量買入某種代幣,再以高價賣出,即使差價非常小,在巨量本金的基礎下,也可以實現可觀的收益。如果放在傳統的金融領域,一般是難以實現這種操作的。但有了dydx,任何人都可以獲得這一筆“巨額資金”。新事物的出現總是存在兩面性,dydx閃電貸為一般人提供使用巨款的可能性的同時,也為躲在暗處的黑客提供了幫助。就如Balancer第一次被攻擊,如果沒有dydx,黑客必須籌集巨額的本金,才能實現將資金池內的通縮代幣抽空,否則將無法進行攻擊。Balancer:通過收取費用來管理自己的資產在傳統金融里,用戶需要向第三方的管理機構支付管理費用,從而平衡自己的資產,保障資產價值。但Balancer的出現打破了這一情況,資產擁有者可以通過收取費用來保障自己的資產價值。Balancer允許用戶建立自己的資金池,將自己的不同資產放入池中,當不同資產的市場價格產生變化時,形成的差價會誘使套利者在資金池中進行兌換,從而使得資金池中的各種代幣含量達到一種平衡。套利者通過套利行為獲得利益,而資金擁有者也因此平衡了資產價值。假設一個資金池中有DAI和WBTC兩種代幣,當DAI在外部升值時,DAI兌換WBTC的比例就會減少,這會誘使套利者在此資金池將手中的WBTC兌換成DAI,直到資金池兌換比例和外部一樣為止,這使得資金池內的DAI持有量上升,總體價值下降。當DAI在外部貶值時,又會誘使套利者將手中的DAI兌換成WBTC,因為早先持有大量的DAI,合算起來,總體價值再次回升。經過套利者的持續操作,資金池內總是保持著一種平衡。Balancer的這種資金池模型并沒有太大問題,但當遇到如通縮貨幣或者Compound這種特殊的代幣時,就會產生問題。Balancer資金池的核心是變動的兌換比例,正常情況下,這種比例會隨不同代幣的流入流出而變化,使得池內金額達到一種平衡,但遇到通縮貨幣或者Compound這類特殊貨幣時,流入流出的數據就與用于計算比例的數據產生誤差,這種誤差使得攻擊者可以進行攻擊并獲利。如何看待DeFi

聲音 | 成都鏈安:使用鏈上合約輪詢開獎機制可能具有安全風險:今日早晨7點半,成都鏈安態勢感知系統鷹眼對某游戲合約交易發出預警,我們的安全人員對該預警進行分析發現,攻擊者正在使用一種新的途徑獲得隨機數種子,并通過合約不斷發起延時交易,嘗試預先計算或者得到游戲合約的開獎參數,安全團隊已通知項目方進行確認,建議具有類似基于線上合約定時開獎模式的項目方及時自查,避免遭到損失。望項目方看到本預警消息能夠及時聯系我們。[2019/6/12]

從上面的兩個項目不難看出,DeFi并不是簡單的將現實世界的金融體系搬到鏈上就可以的。因為底層的不同,造就了DeFi能夠做到現實金融體系無法做到的很多事情,比如0抵押借貸、跨國匯款等非常有前景的功能。但隨之而來的還有很大的風險和問題,比如如何與現實世界互通、如何得到政府的認可以及如何解決安全問題。“給我一個支點,我可以撬動地球”。對比于傳統金融,DeFi的底層靠的是智能合約,本質上是程序,程序擁有傳統金融不可比擬的高效性和便捷性,但也存在傳統金融無需考慮的代碼漏洞問題。如果黑客在智能合約中找到了這樣一個“支點”,便可以輕易撬動上千萬的資產。所以成都鏈安建議各位讀者,理性對待DeFi,選擇安全且有發展前景的項目進行理性投資,在進行投資前,做好調研工作,對未公開智能合約和審計報告的項目,要保持警惕。

Tags:NCEANCBALADEFCrit FinanceLydia FinanceShambaladefibox幣價格

以太坊最新價格
CRV:五分鐘讀懂CurveDAO和CRV治理代幣

原地址:https://defirate.com/curvedao-crv/作者:CooperTurley譯者:李意翻譯機構:DAOSquareCurve,一個領先的流動性供應商.

1900/1/1 0:00:00
區塊鏈:區塊鏈政務服務應用落地成果初顯?北京用12個案例給出答案

編者按:本文來自Cointelegraph中文,作者:Nissa,Odaily星球日報經授權轉載.

1900/1/1 0:00:00
區塊鏈:玲聽:2000人流動的盛宴中,我看到的5個趨勢

過去的一周,杭州區塊鏈世界,異常熱鬧。2020杭州區塊鏈周,37場主題演講,12場圓桌討論,43場周邊活動,近2000人參會.

1900/1/1 0:00:00
ETH:ETH周報 |V神等開發者就Eth 2.0階段零上線日期爭論不休;BAT成二季度DeFi使用最多的代幣(7.6-7.12)

作者|秦曉峰編輯|郝方舟出品|Odaily星球日報 一、整體概述 7月10日,以太坊2.0研究人員JustinDrake表示以太坊2.0階段零,可能要到2021年初才會啟動,“我現在傾向于說.

1900/1/1 0:00:00
比特幣:分析了上半年的公鏈數據,我們發現了這些

鏈上數據往往能反應區塊鏈網絡的真實狀況,我們期望通過對比和分析,在繁雜的市場中找到一些潛力項目。活躍與新增地址數 比特幣六月的活躍地址數為2540.85萬,較五月下降了4.42%.

1900/1/1 0:00:00
EFI:盤點了十幾個流動性挖礦項目,我們發現了這些趨勢和挑戰

編者按:本文來自鏈聞ChainNews,撰文:潘致雄,星球日報經授權發布。加密貨幣項目代幣的分發方式,是整個項目生態非常重要的一環.

1900/1/1 0:00:00
ads