USD:首發 | Yearn.Finance驚爆漏洞 DeFi再遭打擊 一文帶你探明事件始末

2月5日消息，據DeBank數據顯示，DeFi真實鎖倉量突破470億美元，創下歷史新高，本文撰寫時為478.3億美元，約等于3095億人民幣。

2020年被稱為“DeFi元年”，DeFi在Compound首創的“流動性挖礦”推動下獲得了歷史性的大爆發，然而其安全風險居高不下。

北京時間2月5日凌晨，CertiK安全技術團隊發現DeFi項目Yearn.Finance發生攻擊事件，攻擊總損失高達約7100萬人民幣，黑客從中獲利約1800萬人民幣。

黑客通過閃電貸獲得攻擊啟動資金，利用Yearn項目代碼漏洞，完成整個攻擊。

攻擊者獲利數目截圖

百度Apollo首發 “Apollo 001”系列紀念數字藏品:金色財經報道，據百度Apollo智能駕駛官方公眾號，百度Apollo全網首發首款 “Apollo 001”系列紀念數字藏品，以百度汽車機器人為主體形象，每款對應一個百度Apollo自動駕駛重要里程碑事件。據悉，該數字藏品將于2022年7月8日 09:55發布汽車機器人家族全家福空投款。[2022/7/7 1:58:19]

此次攻擊總計包括11筆利用漏洞獲利交易以及3筆轉換代幣交易，交易列表如下：

序號

交易目的

交易獲利

1

利用漏洞獲利

LBank藍貝殼于5月3日20:00首發 CSPR(Casper)，開放USDT交易:據官方公告，5月3日20:00，LBank藍貝殼上線 CSPR(Casper)，開放USDT交易，同時并開放充值，資料顯示，Casper網絡是基于CasperCBC規范構建的第一個實時權益證明區塊鏈。Casper旨在加速當今企業和開發人員對區塊鏈技術的采用，同時確保隨著網絡參與者需求的發展，其在未來仍能保持高性能。[2021/5/3 21:19:51]

3Crv:349852,USDT:11305

2

利用漏洞獲利

3Crv:316814,USDT:11833

LBANK藍貝殼于3月22日18:00首發 DORA，開放USDT交易:據官方公告，3月22日18:00，LBANK藍貝殼首發DORA(Dora Factory)，開放USDT交易，現已開放充值。

資料顯示，Dora Factory 是基于波卡的 DAO 即服務基礎設施，基于 Substrate 的開放、可編程的鏈上治理協議平臺，為新一代去中心化組織和開發者提供二次方投票、曲線拍賣、Bounty 激勵、跨鏈資產管理等可插拔的治理功能。同時，開發者可以向這個 DAO 即服務平臺提交新的治理模塊，并獲得持續的激勵。[2021/3/22 19:07:06]

3

利用漏洞獲利

首發 | imKey正式支持Filecoin，成為首批Filecoin硬件錢包:12月1日，隨著imToken2.7.2版本上線，imKey同步支持Filecoin，成為業內首批正式支持FIL的硬件錢包。Filecoin作為imKey多鏈支持的優先級項目之一，成為繼BTC、ETH、EOS和COSMOS四條公鏈后的第五條公鏈。

據悉，imKey團隊已在Q4全面啟動多鏈支持計劃，計劃實現imToken已經支持的所有公鏈項目，本次imKey升級更新，無需更換硬件，不涉及固件升級，通過應用（Applet）自動升級，即可實現imKey對Filecoin的支持及FIL的代幣管理。[2020/12/2 22:52:32]

3Crv:287544,USDT:11818

4

利用漏洞獲利

3Crv:258554,USDT:11761

5

利用漏洞獲利

3Crv:276366,USDT:11472

6

利用漏洞獲利

3Crv:249387,USDT:11242

7

將前6筆交易獲得的3Crv總量的一半轉換為USDT獲利

869,2603Crv轉換為878,188?USDT

8

利用漏洞獲利

3Crv:226448,USDT:11242

9

利用漏洞獲利

3Crv:198877,USDT:12302

10

利用漏洞獲利

3Crv:172524,USDT:11987

11

將當前交易獲得的3Crv剩余總量的一半轉換為USDT獲利

733,5553Crv轉換為742,042USDT?

12

利用漏洞獲利

3Crv:152217,USDT:11570

13

利用漏洞獲利

3Crv:127856,USDT:11017

14

將剩余所有3Crv轉換為DAI獲利

506,814Crv轉換為513,356DAI??

除開3筆轉換代幣交易之外，剩余11筆獲利交易均針對同一個漏洞，使用相同的攻擊方式完成的獲利。

攻擊大致流程圖如下：

具體步驟如下：

利用閃電貸籌措攻擊所需初始資金。

利用Yearn.Finance合約中漏洞，反復將DAI與USDT從3crv中存入和取出操作，目的是獲得更多的3Crv代幣。這些代幣在隨后的3筆轉換代幣交易中轉換為了USDT與DAI穩定幣。

完成5次重復的DAI與USDT從3crv中存取操作后，償還閃電貸。

CertiK安全技術團隊當前正在審查Yearn.Finance中存在的漏洞，更多漏洞細節將在后續分析中進行詳解。

安全建議

加密世界的交互往往都伴隨著一定的風險，而投資于安全的項目會收到更加長遠的回報。

而高收益必定伴隨著高風險，此次漏洞的爆發同樣是DeFi領域的一個警示。

CertiK建議：

完備的安全保障=安全審計實時檢測資產保障

?

CertiK審計服務CertiK實時檢測安全預言機Skynet天網CertiKShield去中心化資產保障計劃

CertiK的一系列安全服務及工具，可覆蓋項目及用戶的資產安全需求。

對于投資者來說，在投資一個項目之前，可以對照衡量項目方的安全實力之后，再做投資考慮。

如有審計需求，歡迎搜索點擊CertiK公眾號底部對話框，留言免費獲取咨詢及報價！

Tags：USDSDTUSDTCRVQUSDEUSDTusdt幣交易違法嗎3日凍結會解除么CVXCRV幣

幣贏