昨日,DeFi借貸協議bZx年內第三次遭到攻擊,由于代碼重復事故導致共計損失價值超800萬的資產,這距離BZx新版本部署僅不到兩周。受此影響,bZx代幣BZRX過去?24小時跌近30%,從0.6679USDT一度跌至0.4USDT,發文時暫報0.44USDT。
BZRX30分鐘K線圖,來源:幣安
與此同時,bZx?鎖倉量較昨日暴跌99.71%,幾乎歸零,目前僅為176美元。
北京時間9月14日下午3點半左右,bZx發現其協議總鎖定價值出現顯著下降。大約3小時后bZx確認多個iToken發生了重復事故,即iToken合約中的_internalTransferFrom()函數出現異常行為,攻擊者利用了相同的_from和_to地址調用了傳輸函數。確認問題后bZx隨即暫停了放貸操作。
法院裁決將bZx DAO歸類為普通合伙企業:金色財經報道,在最新的法院判決中,法院將bZx DAO歸類為普通合伙企業。它指出,原告提供了足夠的事實,使持有DAO治理代幣的被告有資格成為普通合伙企業的成員。因此,根據加州合伙法,他們有理由對企業的義務負責。
在周一的裁決中,法院同意原告的立場,即DAO代幣持有人對協議投資者負有“注意義務”。該裁決認為,DAO代幣持有人未能采取足夠措施確保足夠的安全性,從而預防黑客攻擊。
據了解,去年11月bZx遭遇黑客攻擊損失5500萬美元,部分受損用戶向法院提起集體訴訟,要求將bZx DAO代幣持有人作為被告。(The Block)[2023/3/28 13:31:12]
bZx表示,目前該函數異常行為已被修復,協議也已恢復正常運行。借款和交易未受到影響,用戶不會受到資金風險。bZx也已部署了新版本的iToken合約,并針對重復事故重設了余額。修復后的代碼已發送給區塊鏈安全公司Peckshield和Certik進行審查。目前iToken的鑄造和銷毀已恢復。
新交易對BZRX (bZx) 突破1.626美元,最高漲幅43.05%:據Gate.io行情顯示,新交易對BZRX/ USDT幣價持續上漲,24H內突破1.68美元,截至今日17:20,24H漲幅最高達43.05%,當前漲幅31.00%,24H最高價1.688美元,當前報價1.626美元。據悉,BZRX/ USDT交易于昨日在Gate.io正式上線。[2020/8/31]
bZx披露的信息顯示,此次重復事故發生后已將以下債務添加至其保險基金中,包括近22萬LINK、4502ETH、175.64萬USDT、141.20萬USDC、以及66.80萬DAI,按當前價格計算,總價值逾800萬美元,具體如下:
219,199.66LINK
4,502.70ETH
1,756,351.27USDT
年初攻擊bZx的錢包剛剛進行了一筆掉期交易:據官方推特,此前于今年2月份攻擊DeFi貸款協議bZx的錢包剛剛進行了一筆掉期交易,bZx官方呼吁錢包所有者與團隊聯系,稱任何能幫助資金返還的信息都會得到回報。[2020/8/3]
1,412,048.48USDC
667,988.62DAI
去中心化借貸協議Compound創始人RobertLeshner表示,這意味著bZx損失了價值800多萬的資產,并建議bZx重新審計合約,而不是僅向用戶表示「nobigdeal」。
針對bZx協議被攻擊一事,Bitcoin.com首席工程師MarcThelan表示,昨晚其在bZx中發現了該漏洞,有價值超過2000萬美元的資產處于危險之中。MarcThelan稱其將該漏洞告知了bZx團隊,但該團隊反應過于緩慢。等到bZx團隊獲悉該漏洞時,攻擊者幾乎已經耗盡了Dai和USDC資產。如果攻擊者有更多時間,可能會耗盡整個池子。bZx的一位創始人在電報群中表示,團隊安全小組建議給MarcThelan1.25萬美元的賞金。
聲音 | bZx聯合創始人:1inch.exchange的博客文章是片面的 且違反披露政策:bZx的聯合創始人Kyle Kistner表示,1inch.exchange的博客文章是片面的。Kistner表示,我們同意支付他們一筆賞金,即使他們違反了我們的披露政策,向公眾公布了漏洞,他稱,“1inch.exchange發布博客文章是相當嚴重的違規行為。我們告訴他們,我們正在撰寫一份檢查報告,并將其安排在2月底發布。行業標準的負責任披露準則規定,披露時間為90天(例如谷歌、微軟都遵循這些準則)。我們要求他們簽署保密協議,因為他們似乎熱衷于敲詐我們”。(TheBlock)[2020/2/21]
1inch聯合創始人AntonBukon此前也發現了該漏洞,其表示,「我們發現有人在兩天前就利用該漏洞將自己的余額增加到1.536億枚iUSDT,并開始從USDT池中轉走,直到bZx協議管理員銷毀了1.519億枚iUSDT,這表明似乎有170萬USDT被盜。」
動態 | DeFi保險項目Nexos Mutual決定對bZx遭攻擊所致損失進行賠償:DeFi借貸服務bZx最近在15日和19日兩次遭到攻擊,Nexos Mutual社區認為這次攻擊造成的損失符合賠償條件,因此為其受害者建立了賠償程序,它將作為第一個賠償案實施。(Coinpost.jp)[2020/2/20]
關于bZx協議管理員銷毀iUSDT一事,以太坊開發人員RomanSemenov解釋稱,bZx協議管理員使用了一個允許其銷毀任何用戶資金的后門,然后將代幣的實現狀態更新為未經驗證。在銷毀一些涉及攻擊的用戶資金后,他們再次將其更新為漏洞修復后的正常實現。
bZx進一步解釋稱,該協議此前已經過區塊鏈安全公司Peckshield及Certik的安全審計,并進行了大量的自動化測試,但通過審計并不能確保協議100%安全。Peckshield及Certik正在分析此次事件的根本原因。
DeFi項目頻繁遭受攻擊,刺激去中心化保險需求
事實上,這并不是bZx協議首次受到攻擊。今年2月中旬,bZx協議曾兩次受到攻擊,共計損失價值逾90多萬的資產。當月中旬,bZx聯合創始人KyleKistner表示,「部分ETH已損失,此次事件是因為一個合約被利用導致的,其他資金是安全的。」業內人士估測,此次損失金額約為35萬美元。
3天后,bZx再次受到攻擊。bZx表示又發現了一次使用閃電貸進行的可疑交易,攻擊者后續使用了Synthetix交易,不過沒有影響到Synthetix系統。
除bZx之外,近期隨著DeFi熱度的大幅提升,安全問題成為了DeFi行業的最大挑戰。據PeckShield數據顯示,八月共發生安全事件28起,其中DeFi市場就發生了8起。
正因如此,去中心化保險的市場需求應運而生。NexusMutualTracker數據顯示,截至目前,去中心化保險NexusMutual的有效保額突破了2億美元,較之兩個月前,該數值已經增長逾20倍。
而在過去短短的24小時左右時間里,該數據就大漲130%,今日bZx的安全事故顯然成為了去中心化保險「大躍進式」增長的重要催化劑。
去中心化保險NexusMutual的有效保額,來源:NexusMutualTracker
可以想象,隨著DeFi市場的持續發展,去中心化保險、預言機等細分市場有望繼續保持增長勢頭。
bZx協議代碼安全漏洞的技術細節與進展更新
根據bZx發布的漏洞?報告,此次事件發生后的團隊所采取的進展以及技術細節如下:
團隊注意到協議總鎖定價值出現了異常變動;
在iToken上識別出與_internalTransferFrom()函數相關的異常行為;
團隊在確定修復方案后暫停了iToken的鑄造和銷毀,不過,借款和交易并未受到影響;
部署了新版本的iToken合約,并重設了余額;
修復后的代碼已發送給Peckshield和Certik進行審查;
恢復iToken的鑄造和銷毀。
在以太坊ERC20代幣中,TransferFrom()函數是將一定數量的代幣從一個地址轉移至另一個地址的執行操作,即從地址_from發送_value個token到地址_to。
此次iToken重復事故正是攻擊者利用了相同的_from和_to地址調用了傳輸函數。
有誤的代碼
當_from和_to地址相同時,會導致_balancesFrom和_balancesTo相等。
有誤的代碼
上述問題導致再減少_balancesFrom余額的情況下增加了_balancesTo的余額,并且還保存了_balancesFromNew和_balancesToNew,這會導致用戶能夠人為地增加自己的余額。
修復后的代碼在balances余額減少后,會進行balancesTo余額的轉移,從而防止用戶人為增加自己的余額。
修復后的代碼
撰文:張改娟
尊敬的LBank用戶: 因云服務商服務器需要優化,LBank將調整USDN/USDT、WAVES/USDT交易對上線時間至9月15日18:00。給您帶來的不便敬請諒解.
1900/1/1 0:00:00文|Nancy編輯|Tanya出品|PANews指數級增長的DeFi,正解構著傳統金融世界的游戲規則和競爭格局.
1900/1/1 0:00:00親愛的大幣網(Dcoin)用戶:LDT售賣項目已上線大幣網(Dcoin),為了提供更具針對性的服務及交易體驗,大幣網(Dcoin)特為LDT項目建立了專屬社群,加入微信群即可領取LDT空投獎勵.
1900/1/1 0:00:00Gate.io始終堅持創新和透明的理念,為用戶提供最好的產品也為行業發展貢獻力量。我們很高興的宣布GateChain創新DeFi兌換協議HipoSwap白皮書發布,中英文兩個版本均已上線,歡迎平.
1900/1/1 0:00:00資訊熱點 1.大連市將支持企業申請區塊鏈技術等概念的經營范圍大連市市場監管局出臺《關于進一步支持企業快速發展的若干指導意見》.
1900/1/1 0:00:00在YAM分叉AMPL,并采用流動性挖礦的機制之后,整個DeFi領域突然冒出大量的分叉和流行性挖礦的項目,幾乎每天都有新項目出現。而Sushiswap分叉Uniswap,則將這一現象推上新的層面.
1900/1/1 0:00:00