比特幣行情 比特幣行情
Ctrl+D 比特幣行情
ads
首頁 > 火星幣 > Info

COM:起底Compounder.finance惡性DeFi跑路案 項目方收割超1200萬美元

Author:

Time:1900/1/1 0:00:00

譯者注:近日,Compounder.finance用戶被盜走超過1200萬美元的資金,讓人吃驚的是,這次攻擊事件的罪魁禍首并非黑客,而是項目方本身,這也是目前性質最惡劣的DeFi跑路事件,原文由rekt團隊撰寫。

這里是罪人的希望,因為他們的罪過在匿名斗篷的保護下被遺忘了。

Rekt來到這里是為了照亮罪行,揭露攻擊者的方法,而我們好以此為鑒。

Compounder.finance的網站及官方Twitter賬戶都被項目方刪除了,而一份完整的安全審計報告為我們的調查提供了唯一的線索。

RektHQ現在正忙著呢,我們開始調查的時候事件已經發生了幾個小時…當我們聯系審計方時,他們似乎并不希望看到我們。

“請不要發那樣該死的內容,你真的嚇到我了,weakerhands可能會報告這件事或一些狗屎。”

在我們提供了一些保證之后,Solidity.finance向我們提供了他們與compounder.finance交談的完整聊天記錄。

其他受害者也向我們伸出援手,展示了他們與compounder管理者進行的早期交談,并表達了他們的擔憂。

BNB Chain投資總監:經歷熊市和“迷你牛市”,我們正處于人人都在建設的階段:2月12日消息,BNB Chain投資總監Gwendolyn Regina在接受采訪時表示,盡管過去一年加密市場動蕩不安,但BNB的投資策略著眼于長遠,主要不受日常市場事件的影響。“我們的投資理念沒有變,但有時也會改變。我們都知道區塊鏈和加密貨幣的發展速度非常快,所以我們在某些領域更加精確,但基本上來說它并沒有改變。總而言之,經歷了熊市和‘迷你牛市’,我們正處于每個人都在建設的階段。我們希望在BNB Chain上啟用更多功能。”

Regina補充說,BNB Chain上的Web3游戲也“通過穩健性和更便宜的費用實現有機增長”,但區塊鏈團隊現在正在該領域“加倍努力”,以鼓勵更多游戲玩家和開發者在其鏈上玩游戲和構建游戲。Regina表示,在其100萬日活躍用戶中,約有40%是游戲玩家。(Techcrunch)[2023/2/12 12:01:40]

Solidity.finance告訴我們,他們僅與compounder管理員進行了簡短交談,他們確實審核了合約,并且他們在文檔中指出,盡管資金池有一個時間鎖控制,但這個時間鎖并沒有提供任何保護。

以下內容來自他們的聊天記錄:

DWF Labs與NFT借貸平臺NFTY Finance達成戰略合作:9月15日消息,瑞士做市商DWF Labs官方宣布,已與NFT借貸平臺NFTY Finance就做市相關工作達成戰略合作。[2022/9/15 6:57:52]

在我們調查的這個階段,solidity.finance仍然是存在疑點的,我們想知道他們為何會認為compounder.finance團隊看起來“非常值得信賴”。

在閱讀聊天記錄時,我們注意到盡管帳戶被刪除了,但保留了一個用戶名“keccak”。

盡管solidity.finance表示keccak已經刪除了他們的帳戶,但我們已經找到了他們的帳戶,并正在嘗試聯系。

不幸的是,Vlad不想通電話,所以我們給他們發了一條消息,但并沒有期望他能夠回應。

直到……

Vlad準備好交談了,不幸的是,他并不想合作。

我們仍可以通過@keccak在Telegram上找到Vlad/keccak,但是他不再回應,并刪除了他賬戶中的圖片。

我們將他的舊頭像附在此處,供大家參考和調查。

波場TRON賬戶總數突破1.1億:據官方消息,2022年9月5日,TRONSCAN最新數據顯示,波場TRON賬戶總數達到110,169,033,正式突破1.1億。[2022/9/5 13:09:24]

我們被告知,圖中的狼來自一部著名的烏克蘭動畫片,上面寫著“comebyifsomethingcomesup”,而左邊則是反核武器的海報。

不幸的是,這對受影響的用戶并沒有太多幫助。

在認清Vlad不想談話的情況后,我們訪問了Compounder的官方電報群,而里面的人們都很歡迎我們。

滾動瀏覽聊天內容時,我們看到了由官方跑路行為所引發的典型反應。

即使是大玩家也遭到了這次跑路事件的重創,受害者們成立了一個調查小組,其中帶頭人損失了100萬美元,他們試圖進行報仇。

帖子可以在這里找到。

https://twitter.com/defiyield_info/status/1333731633393004545?s=20

統計數字

作為調查的一部分,我們找到了Solidity.finance以及來自StakeCapital的@vasa_develop,并要求他們合作創建一份完整的事后分析報告。

持有或丟失BTC的代幣數量剛剛達到 21 個月高點:金色財經報道,Glassnode數據顯示,持有或丟失的BTC代幣數量剛剛達到7,431,813.476 BTC 的 21 個月高點 。[2022/8/19 12:36:09]

以下數據來自他們的報告。

被盜取的資產:

8,077.540667WEth;

1,300,610.936154161964594323yearn:yCRV金庫;

0.016390153857154838COMP;

105,102,172.66293264CompoundUSDT;

97,944,481.39815207CompoundUSDCoin;

1,934.23347357CompoundWBTC;

23.368131489683158482Aave計息YFI;

6,230,432.06773805CompoundUniswap;

跑路后,官方將資金轉移到了以下這些錢包:

https://etherscan.io/address/0x944f214a343025593d8d9fd2b2a6d43886fb24741,800,000DAI;

Nexo:昨天向Celsius團隊伸出援手但被拒絕,將向Celsius提供一份收購報價:6月13日消息,加密借貸機構Nexo發推表示,所有Nexo產品都在正常運行,昨天向Celsius團隊伸出援手,希望提供支持,但被拒絕了。Nexo擁有堅實的流動性和股權,可以輕松收購Celsius的任何剩余合格資產,主要是其抵押貸款組合,我們正在根據該協議向Celsius提供一份報價,并將公開傳達。[2022/6/13 4:22:32]

https://etherscan.io/address/0x079667f4f7a0b440ad35ebd780efd216751f07585,066,124.665456504419940414DAI,39.05381415WBTC,4.38347845834390477CP3R,0.004842656997849285COMP,0.000007146621650034UNI-V2。

部署者通過Tornado.cash隱藏其資金來源,并向7個不同的地址發送了ETH,其中大部分都只有一筆交易。然而,其中有一個地址在11月19日、20日、22日以及23日分別收到了4筆付款。該地址的大部分資金都來自一個持有超過100萬KORE代幣的地址。

攻擊分析

這次攻擊事件的罪魁禍首,是項目方在完成審計后在其代碼庫中添加了7個惡意策略合約。

策略合約中的非惡意withdraw函數如下所示:

注意,我們有了一些檢查,比如:

這些檢查在7份惡意策略合約中是缺失的。這允許控制者合約從策略中提取資產。

完整的跑路過程可以分為4個步驟進行解釋:

步驟1

Compounder.Finance部署者部署了包含操縱withdraw()函數的7個惡意策略。

步驟2

Compounder.Finance部署者通過Timelock交易在StrategyController中設置并批準7個惡意策略。

步驟3

Compounder.Finance部署者在StrategyController上調用inCaseStrategyTokenGetStuck(),它濫用了惡意策略的可操縱withdraw函數,將策略中的代幣轉移到StrategyController,并對7種惡意策略都執行這種操作。

步驟4

Compounder.Finance部署者在StrategyController上調用了inCaseTokensGetStuck()?,該函數將代幣從StrategyController傳輸到Compounder.Finance部署者地址。現在,Compounder.Finance部署者完全控制了用戶的資產,共計價值12,464,316.329美元。

資產已被轉移到此處列出的多個地址。

感謝@vasa_develop提供的出色分析工作。

如果你是舉報人,網絡偵探或Etherscan偵探,并且你有線索貢獻,請與我們聯系。

那應該怪誰?

經過我們的分析,我們知道這不是審計方的問題,他們盡職地完成了自己的任務,確保CompounderFinance不受外部攻擊的影響,同時他們也在審計報告和聊天群中表達了他們的擔憂。

也許他們本可以更明顯地表達出這些擔憂,但最終,最終責任還是在存儲者的身上。

盡管Compounder.finance使用了時間鎖來表明他們不會跑路,但現在我們知道,這種方法是不可信的。如果使用了它,則應建立一個自動警報系統或儀表板,以監控該地址的交易。

并且24小時的時間鎖,似乎不足以讓用戶移除自己的資金。盡管我們不能說所有匿名創始人的項目都是騙局,但幾乎所有的騙局,都是來自匿名創始人的項目。作為一個社區,我們需要警惕這些項目,尤其是那些使用Tornado.cash來隱藏資金來源的項目。

此外,審計報告的存在,不足以保證項目的安全性及合法性。審計通常更關注來自外部攻擊者的風險,而不是內部攻擊者,這也許是審計師需要改進的一個領域。

即使有審計、時間鎖以及燃燒掉的密鑰,存儲用戶總是任由項目方的擺布,他們隨時可能向市場投放大量的代幣。

來自Solidity.Finance的官方聲明

“C3PR部署了新的“策略合約”,這使得團隊可以清空用戶資金所在的策略合約。他們有延遲24小時交易的時間限制,但我們警告說,這是不夠的,因為誰會關注呢?他們在24小時前就通過這筆交易開始了這個改變:

5個小時前,他們盜走了資金。

我們主要關注的是來自外部的攻擊,我們意識到了這種風險,但其只延遲了24小時,而沒有人關注這些動作。”

我們都知道我們應該在投資前檢查智能合約,但這里的知識壁壘很高,不是每個人都知道該找什么,那些知道的人,也沒有動力去分享他們的發現。

在C3PR的例子中,知道的人很早就意識到了危險,而使跑路成為可能的代碼總是存在的。

而這次C3PR跑路事件,卷走了超過1200萬美元的用戶資金,可以說是有史以來最大的defi跑路案。

Tags:COMCOMPOMPNCEcomp幣最新價格Compoundcomp幣有什么價值Reimagined Finance

火星幣
比特幣:路透社:目前北美投資者是比特幣的最大買家

周四,路透社報道稱,隨著比特幣目前的牛市行情在本周將其價格推至歷史新高,大部分購買活動似乎不是來自東亞,而是來自北美.

1900/1/1 0:00:00
比特幣:[2020年12月4日] AAX一鍵買幣-買比特幣賺取額外5 USDT!

尊敬的AAX用戶 AAX一直致力為客戶提供更快、更方便的方式以現金購買加密貨幣,鑒于上次一鍵買幣活動反應熱烈,AAX很高興宣布新一輪的一鍵買幣活動.

1900/1/1 0:00:00
FIL:IPFS/FIL能否從30美金漲到500美金,現在手機就可以挖,無需質押

終于,又一個被稱作區塊鏈3.0的項目,出現了。上一個被稱為區塊鏈3.0的還是EOS。2018年,EOS成為當之無愧的明星項目,它在二級市場上一度市值突破50億美元,在加密貨幣中排名第四.

1900/1/1 0:00:00
BTC:掀起大浪的灰度信托到底是何方神圣

自2020年10月起,灰度信托不斷增持以比特幣為代表的加密資產使得加密資產價格一路走高,比特幣價格更是觸及三年高位.

1900/1/1 0:00:00
比特幣:10年、10萬,如何投資?機構主導大牛市,萬幣齊飛如何選?

往者不可諫,來者猶可追。★時間拉回2010年,你當時在做什么?有多少存款?想過投資嗎?如果有時光機器,正在讀我這篇文章的你,如果回到2010年,你的選擇一定是買比特幣.

1900/1/1 0:00:00
TPS:關于WBF恢復KTO,CM,OPS充提業務的公告

尊敬的WBF用戶: KTO錢包升級已完成,WBF現已恢復KTO,CM,OPS的充幣和提幣業務,如有疑問,請咨詢WBF官方客服.

1900/1/1 0:00:00
ads