DeFi的黑暗藝術仍然是最有利可圖的。
下面是我們至今遇到過最具戲劇性的故事之一。
一個虛假魔術,混亂及指控的故事,導致了迄今為止最大的DeFi黑客事件。
大約有3750萬美元資金在一起復雜的DeFi欺騙案中被盜,這次攻擊利用了多筆交易來突襲Alpha Finance的金庫,同時讓很多人相信是Cream的鐵金庫(Iron Bank)受到了影響。
這起謀殺案發生在一個有鏡子的大廳里,DeFi協議日益交織的性質,加上攻擊的復雜性,使得社區對誰是真正的受害者,以及誰該負責賠償感到困惑。
攻擊者的合約導致Homora代碼“相信”他們的惡意合約是他們自己的,目的是操縱系統中的內部債務數量。
這是協議和攻擊者之間的一場私人戰斗。被利用的合約尚未被公布,也未提供給用戶,這意味著他們沒有受到直接影響。我們還沒有看到過這樣一個明目張膽的內部作案,Alpha Finance很快指出,他們找到了一個“主要嫌疑人”。
如果合約還沒有準備好,為什么還要部署在主網上?
在混亂中,大玩家迅速采取行動來保護自己的資本。SBF從Cream Finance中提取了價值4億美元的FTT,三箭資本(Three Arrows Capital)則向幣安發送了價值300多萬美元的ALPHA代幣,其唯一目的可能是出售掉它們。
以太坊ZK協處理器Axiom已于主網發布alpha版本:7月6日消息,以太坊ZK協處理器(coprocessor)Axiom已于主網發布alpha版本。
Axiom旨在提供智能合約對所有鏈上數據的去信任訪問,使得開發人員可以訪問歷史鏈上數據,并通過向Axiom進行查詢來對其執行經過驗證的計算,以通過零知識證明增強區塊鏈共識。[2023/7/6 22:22:10]
與這次攻擊相關的所有代幣的價值均出現了下降。
Alpha Homora治理令牌ALPHA從2.25美元跌至1.78美元。
Iron Bank治理代幣CREAM從288.32美元跌至193.51美元。
AAVE,其提供了這次攻擊所需的閃電貸功能,它的治理代幣從當天的518美元跌至492美元的低點。
然而,代幣定價并不是這個故事中最有趣的方面。
Alpha Finance團隊發布了一篇出色的調查報告,而他們的發現是驚人的。我們聯合調查的結果表明,腐敗的程度比預期的要嚴重得多。
Alpha Finance是否會公開他們的指控還有待觀察,但他們最初關于有主要嫌疑人的聲明表明,影響正在到來。
從官方調查報告來看,我們可以看出,攻擊者需要知道以下信息才能實施攻擊:
HomoraBankv2為即將發布的版本部署了一個sUSD池子,這一版本既沒有在UI上提供,也沒有公開發布。
Alpha Homora:社區將投票決定是否吸收與Iron Bank之間的逾3000萬美元壞賬:3月9日消息,Alpha Homora已向社區發布了第四封公開信,以解決其與Iron Bank之間跨協議的壞賬問題。在信中,Alpha Homora提出了如下解決方案:
1. Iron Bank立即停止計息;
2. Iron Bank需將超過債務總額(30689988.09美元)的部分Alpha Homora用戶存款(8686364.33美元)歸還給Alpha Homora用戶;
3. Iron Bank需歸還Alpha Homora提供的6300萬枚ALPHA抵押品;
4. Alpha Homora將與其社區用戶一起解決壞帳金額。如果前3步措施可以順利執行,Alpha Homora將提出一些可能的恢復方案。
Alpha Homora指出,上述方案意味著Alpha Homora與Iron Bank之間的壞賬將轉移至Alpha Homora與其用戶之間。在接下來的48個小時內,Alpha Homora將發起投票,以讓社區決定是否執行該方案。[2023/3/9 12:52:12]
sUSD借貸池中沒有流動性,因此攻擊者可以完全操縱和夸大總債務金額和總債務份額;
借用函數計算中存在舍入錯誤計算,僅當攻擊者是唯一借用者時才會產生影響;
resolveReserve函數可以在不增加totalDebtShare的情況下增加totalDebt,而實際上任何人都可以調用用于將收入收集到儲備池的函數;
NFT卡牌游戲Duelist King Alpha 2.0版本將于4月15日上線:4月5日消息,NFT卡牌游戲Duelist King Alpha 2.0版本將于4月15日上線,以帶來全新玩法。此外,Alpha 2.0版本將向所有用戶開放。[2022/4/5 14:04:21]
HomoraBankv2接受任何自定義spell,只要不變量檢查出collateral>borrow(類似于Yearn中策略的spell);
在這么多用戶的注視下,搶劫者留下了清晰的線索,在罕見的反擊行動中,受害者將襲擊者挑了出來。
上述要求證明,實施這一攻擊需要內幕信息。然而,由于涉及協議和審計公司的范圍,內幕人士可能有多個可能。
rekt不再是在做指控的生意,但我們期待著看到Alpha Finance如何處理這種情況。
以下是Alpha Finance表述的經過:
攻擊者制造了一個邪惡的spell(相當于Yearn的策略)
https://etherscan.io/tx/0x2b419173c1f116e94e43afed15a46e3b3a109e118aba166fcca0ba583f686d23
攻擊者將ETH交換成UNI,并將ETH+UNI提供給Uniswap池子(獲得ETH/UNI LP代幣)。在同一筆交易中,在Uniswap上交換ETH->sUSD,并將sUSD存入Cream的Iron Bank(獲得cysUSD)
薩爾瓦多政府與白標供應商AlphaPoint合作更新Chivo錢包:2月2日消息,薩爾瓦多已重新推出Chivo錢包,以解決當地BTC轉賬的現有挑戰。通過與白標基礎設施供應商AlphaPoint的整合,更新后的Chivo錢包有望進行即時的低費率比特幣交易,同時解決與穩定性和可擴展性有關的問題。根據官方聲明,Chivo打算將其目前面向消費者的用例擴展到其他日常交易,如簡化家庭水電的支付、稅收和其他許多比特幣的日常交易。此外,“該項目有志于Chivo在全國各地部署1500臺比特幣自動提款機,以更方便地服務于薩爾瓦多人民”。(Cointelegraph)[2022/2/2 9:27:26]
https://etherscan.io/tx/0x4441eefe434fbef9d9b3acb169e35eb7b3958763b74c5617b39034decd4dd3ad
使用邪惡的spell調用execute到HomoraBankV2,執行:借用1000e18 sUSD,將UNI-WETH LP存到WERC20,并在此過程中用作抵押品(繞過collateral > borrow檢查),攻擊者擁有1000e18 sUSD債務份額(因為攻擊者是第一個借款人)
https://etherscan.io/tx/0xcc57ac77dc3953de7832162ea4cd925970e064ead3f6861ee40076aca8e7e571
LBank藍貝殼于4月23日18:00上線ALPACA:據官方公告,4月23日18:00,LBank藍貝殼上線ALPACA(Alpaca Finance),開放USDT交易,4月22日16:00開放充值,4月25日16:00開放提現。資料顯示,Alpaca Finance是幣安智能鏈上杠桿式產量農業協議。是一個公平啟動項目,沒有預售,沒有投資者,也沒有預挖。協議將允許用戶通過從我們的存款金庫借款來進行杠桿挖礦。目前alpaca提供三種代幣的借貸,18種交易對的挖礦,并且幾乎每周都在增加新的挖礦池。[2021/4/22 20:47:26]
再次使用邪惡spell調用execute到HomoraBankV2,執行:償還100000098548938710983 sUSD(實際應計利息債務為100000098548938710984 sUSD),導致償還份額比總份額少1。結果,攻擊者現在有1 minisUSD債務和1份債務份額。
https://etherscan.io/tx/0xf31ee9d9e83db3592601b854fe4f8b872cecd0ea2a3247c475eea8062a20dd41
調用sUSD銀行的resolveReserve,產生19709787742196債務,而totalShare仍為1。當前狀態:totalDebt = 19709787742197,而totalShare = 1
https://etherscan.io/tx/0x98f623af655f1e27e1c04ffe0bc8c9bbdb35d39999913bedfe712d4058c67c0e;
再次使用邪惡spell調用execute到HomoraBankV2,執行(重復16次,每次翻倍借入金額):借入19709787742196美元并轉移給攻擊者(每次翻倍,因為每次借入成功totalDebt都翻倍)。每次借入都比totalDebt值小1,導致相應的借入份額=0,因此協議將其視為無債務借入。在交易結束時,攻擊者向Cream的Iron Bank存入19.54 sUSD。
https://etherscan.io/tx/0x2e387620bb31c067efc878346742637d650843210596e770d4e2d601de5409e3
繼續這個過程:再次使用邪惡的spell調用execute到HomoraBankV2,執行(重復10次,每次翻倍借來的金額)。在交易結束時,攻擊者將1321 sUSD存入Cream的Iron Bank
https://etherscan.io/tx/0x64de824a7aa339ff41b1487194ca634a9ce35a32c65f4e78eb3893cc183532a4;
通過Aave的閃電貸借入1,800,000 USDC,然后將這1,800,000 USDC換成1770757.5625447219047906 sUSD,并存入Cream以使攻擊者有足夠的流動資金使用自定義spell 借款,繼續將sUSD借款翻番,從1322.70 sUSD增加到677223.15 sUSD(共10倍)。將1353123.59 sUSD換成1374960.72 USDC,從Cream借入426659.27 USDC(因為攻擊者已在步驟b中存入sUSD)
https://etherscan.io/tx/0x7eb2436eedd39c8865fcc1e51ae4a245e89765f4c64a3200c623f676b3912f9
重復步驟8,這次金額大約是1000萬USDC ,https://etherscan.io/tx/0xd7a91172c3fd09acb75a9447189e1178ae70517698f249b84062681f43f0e26e;
重復1000萬USDC,
https://etherscan.io/tx/0xacec6ddb7db4baa66c0fb6289c25a833d93d2d9eb4fbe9a8d8495e5bfa24ba57
借款13244.63 WETH+360萬USDC+560萬USDT+426萬DAI,向Aave供應穩定幣(以獲得aToken,因此USDC和USDT不能凍結),向Curve a3Crv池子供應aDAI、 aUSDT以及aUSDC
https://etherscan.io/tx/0x745ddedf268f60ea4a038991d46b33b7a1d4e5a9ff2767cdba2d3af69f43eb1b
將a3Crv LP代幣添加到Curve的流動性gauge
https://etherscan.io/tx/0xc60bc6ab561af2a19ebc9e57b44b21774e489bb07f75cb367d69841b372fe896
其余的交易將資金發送到Tornado Cash以及GitCoin Grants,其中有1000 ETH被發送到Cream和Alpha的部署者地址。
這個故事很獨特,也令人生疑。
當涉及到白帽子/黑帽子的活動時,我們總是期待看到角色轉換,但是我們很少看到受害者如此清楚地指責。
幾周前促成Yearn和Alpha Homora合作的Andre Cronje在談到這次攻擊時寫道:
“花點時間研究了這次攻擊,9筆交易,4種不同的操縱,其中一種包括精確的債務計算,這需要研究團隊花費數小時才能弄清楚,Alpha立即采取了措施來緩解漏洞問題,在發現該問題后的幾分鐘內就解決了它。”
而Banteg的回復是:
“這個事件絕對是瘋狂的,不可能有人隨便看看合約,尤其是那些未經宣布的東西,就能發現這一點。”
也許這會導致另一起Yearn收購案,Cronje的名字在調查報告中被提到了4次,而且這個模式看起來確實很熟悉。。。
由于可能的嫌疑犯名單非常小,因此更容易排除和追蹤潛在的攻擊者,在這種情況下,名單范圍甚至比平常更小。
在處理代碼時,“Don’t trust, verify”是一句極好的口號,但它并不能阻止日益增長的社會偏執癥。我們正經歷一個加密貨幣和DeFi前所未有的增長時期,在這個時期,不工作的成本是非常高的。DeFi開發者的精神負擔與日俱增。
帝國是建立在代碼行之上的,金融的未來就在我們眼前。
開發人員陷入了競爭,而腐敗的內部人員則幫助黑客在地下工作,在他們的基礎上挖洞。
當一座塔倒塌時,其他的塔都會看著并學習。在塵埃落定之前,人群已經開始前進,而堅韌的的團隊會重返賽場,以尋求更強的實力。
在不可避免的錯誤導致他們的匿名斗篷掉下之前,他們還能維持多長時間?
注:原文來自rekt
毫無疑問,NFT 已經在 2021 年獲得了 Crypto 領域最廣泛的關注。雖然一些市場觀察人士早在一段時間前就預見到了 NFT 的流行和使用,但 NFT 在傳統和 Crypoto 原生玩家中.
1900/1/1 0:00:00DeFi數據 1.DeFi總市值:394.71億美元 市值前十幣種漲跌幅,金色財經制圖,數據來源Coingecko2.過去24小時去中心化交易所的交易量:26.6億美元獨家 | 金色財經2月8日.
1900/1/1 0:00:00在最近的幾周,Meta 推遲了對初級工程師的招聘,緊接著在本周三,Meta 在一份聲明中表示,將放緩人才儲備的增長速度。尤其是大多數中高級職位的招聘.
1900/1/1 0:00:00過去三個月,DeFi的野蠻生長,尤其是與Yield Farming(收益農耕)天然契合的AMM DEX(自動做市的去中心化交易所)的崛起,讓原本穩坐行業頂流的中心化交易所(CEX)感到了不安.
1900/1/1 0:00:00據bitcoinist.com報道,在烏克蘭以壓倒性多數當選總統的弗拉基米爾·澤倫斯基的一位高級助手透露了其區塊鏈計劃,加密貨幣可能會在其政策名單中占據重要位置.
1900/1/1 0:00:00區塊鏈世界總是在迭代中前進。今年以來,公鏈風起云涌、NFT大放異彩、跨鏈方興未艾,加上元宇宙的出圈助攻,整個區塊鏈世界精彩紛呈,迎來更廣闊的發展空間.
1900/1/1 0:00:00