引言:關于 DeFi 的安全問題,從 2020 年 2 月份到現在,損失數億美元,各路專家已有無數文章來解析 DeFi 樂高的風險,直到現在這類問題依然沒有引起開發者們的高度重視,在市場持續狂熱以及鎖倉規模不斷推高的環境中,人們似乎已經忘了,那個深埋在狂歡大陸土地下的隱患,并沒有消失......
曾經的 DeFi 之王 YFI 協議未能幸免
2021 年第一次閃電貸攻擊事件,發生在了 2020 年的 DeFi 王者 —— Yearn Finance 協議身上,當然,這是偶然事件還是開年先拿王者開刀,來嘲諷 DeFi 的無能,我們暫且不論,也無從洞察“攻擊者”的心境,這里,我們來看一下發生了什么。
根據慢霧科技的情報,遭受攻擊的是 Yearn Finance 協議的 DAI 策略池,具體情況如下:
PuppyDoge (PUPD)攻擊者利用閃電貸漏洞獲得6.97 WBNB:金色財經報道,據CertiK官方推特發布消息稱,PuppyDoge (PUPD)上檢測到一個閃電貸漏洞,bsc地址:0xB0F529aa39586D6e53800C7b9A4E0223F73437A8。攻擊者獲得6.97 WBNB(約合1600美元)。[2023/7/24 15:55:57]
1. 攻擊者首先從 dYdX 和 AAVE 中使用閃電貸借出大量的 ETH
2. 攻擊者使用從第 1 步借出的 ETH 在 Compound 中借出 DAI 和 USDC
3. 攻擊者將第 2 步中的所有 USDC 和 大部分的 DAI 存入到 Curve DAI/USDC/USDT 池中,這個時候由于攻擊者存入流動性巨大,其實已經控制 Curve DAI/USDC/USDT 的大部分流動性
安全團隊:ROE Finance 項目遭到閃電貸攻擊:金色財經消息,據CertiK監測,ROE Finance項目遭到閃電貸攻擊。目前部署者已暫停合約功能,被盜資金總額約為8萬美元。
ETH合約地址:0x574FF39184Dee9e46F6C3229B95e0e0938e398d0[2023/1/12 11:07:26]
4.?攻擊者從 Curve 池中取出一定量的 USDT,使 DAI/USDT/USDC 的比例失衡,及 DAI/ (USDT&USDC) 貶值
5. 攻擊者第 3 步將剩余的 DAI 充值進 yearn DAI 策略池中,接著調用 yearn DAI 策略池的 earn 函數,將充值的 DAI 以失衡的比例轉入 Curve DAI/USDT/USDC 池中,同時 yearn DAI 策略池將獲得一定量的 3CRV 代幣
MakerDAO就利用閃電貸操縱治理投票發出警告:金色財經報道,MakerDAO就DeFi協議團隊利用閃電貸操縱治理投票發出警告。具體來說,B Protocol的團隊希望被列入白名單,以便訪問MakerDAO的價格預言。因此,他們提交提案以便于10月23日獲得批準。三天后,多項交易被創建并處理。首先是借入ETH,然后將其用作抵押品以借入價值700萬美元的MKR。新借來的MKR被用于投票,然后返回其被借出的市場。MakerDAO表示,這一事件為社區提供了一個例子,即閃電貸可能會影響系統治理,并強調需要積極監控MKR市場流動性。[2020/10/29]
6. 攻擊者將第 4 步取走的 USDT 重新存入 Curve DAI/USDT/USDC 池中,使 DAI/USDT/USDC 的比例恢復
bZx將推出Fulcrum 2.0 包含閃電貸功能:8月27日,去中心化借貸平臺bZx官方宣布,將發布新升級的產品Fulcrum 2.0,主要用于代幣化借貸和保證金交易。同時,Fulcrum 2.0具有閃電貸(Flash Loan)功能。[2020/8/27]
7. 攻擊者觸發 yearn DAI 策略池的 withdraw 函數,由于 yearn DAI 策略池存入時用的是失衡的比例,現在使用正常的比例提現,DAI在池中的占比提升,導致同等數量的 3CRV 代幣能取回的 DAI 的數量變少。這部分少取回的代幣留在了 Curve DAI/USDC/USDT 池中
8. 由于第 3 步中攻擊者已經持有了 Curve DAI/USDC/USDT 池中大部分的流動性,導致 yearn DAI 策略池未能取回的 DAI 將大部分分給了攻擊者
9. 重復上述 3-8 步驟 5 次,并歸還閃電貸,完成獲利
攻擊者利用閃電貸進行這一循環套利,使得 Yearn Finance 損失高達千萬美元!
根源不是閃電貸,而是脆弱的價格機制
YFI 和 Curve 之間的組合,利用 LP 的不同凈值來計算份額,通過池子里的份額來決定價格,這是典型的價格操控!
我們把現在的各 DeFi 協議當作是各個國家,每個國家制定不同的政策規則,商人通過政策規則之間的組合,尋找突破口,來獲取利差。這是光明正大的賺取合理收益, 無法責怪攻擊者,因為,你的機制告訴了別人,怎么來操控我的價格進行套利。
關于閃電貸攻擊的問題,我們已經闡述過多次,《解讀 | Compound 遭受價格預言機操縱攻擊事件始末》,這篇文章里有詳細描述。
價格操控的背后所暴露的問題,才是我們更應該去思考和研究的方向。
現如今的 DeFi 協議開發者,往往把快速、高效放在第一位,對區塊鏈的本質充耳不聞,大家都求快,不愿去解決本質問題的根源。因為幾乎所有人都正在這樣做,睜一只眼閉一只眼。
比特幣的設計,是讓所有節點一起對正在廣播的交易進行驗證,所有人都同意的廣播,這筆交易才作數。其本身就是一個冗余的復雜系統,比特幣并非是為了在“可用性”方面做出創新,而是在“可信性”方面給出了一個完美的解決方案,解決了去中心化過程中的安全問題。比特幣網絡的算力規模越大,網絡越安全,但其處理交易的效率并沒有提高。
如果一個價格機制可以簡單的利用所謂的“可信”節點上傳到鏈上或者通過 LP 份額的方式來簡單決定,而使用這個價格的 DeFi 協議或者用戶無法對你的價格進行無需許可的有效驗證,那么你給出的價格就是你說的算,并不是共識過的價格,并不是大家一起說的算;進而,基于這套價格體系的鏈上經濟體的安全系數,也必然不會隨著規模的擴大而增強。簡單來講,這與區塊鏈本質背道而馳,舍本逐末。
堅定去中心化的安全之路
NEST Protocol 堅持以無需許可,可被任何人驗證的無套利空間的價格同步在鏈上生成,供 DeFi 協議調用,隨著 NEST 報價礦工/驗證者參與規模的增長,其在鏈上生成的價格數據質量也會同步提高,這是一個非合作博弈系統所應該表現出來的基礎屬性,可累積博弈。
在有效市場下,這種報價礦工之間的博弈、報價礦工與驗證者之間的博弈,以及協議與二級市場之間的博弈,多維度非合作博弈生成的鏈上價格才是我們應該去追求的安全之根。
堅持區塊鏈本質,堅定去中心化精神,是區塊鏈行業發展的第一準則。
撰文 | NESTFANS.知魚
Tags:DAIUSDSDCUSDTDaikokuten Samabusd幣今日行情usdc幣倒閉的可能性大嗎EUSDT
數字人民幣正在全國各地擴大試點。據財聯社消息,支持數字人民幣支付的自動售貨機2月22日在上海地鐵站亮相.
1900/1/1 0:00:00基于最新的性能指標比較以太坊 2.0 主網上所有可用的客戶端。2020年12月以太坊 2.0 信標鏈發布之后,現在是時候介紹以及比較現有的協議實現了.
1900/1/1 0:00:00原標題:全球搶購加拿大首支比特幣ETF,首日成交量驚人!美國版也將呼之欲出?2月18日,北美首只比特幣ETF——Purpose?Bitcoin?ETF(股票代碼BTCC)在加拿大多倫多證券交易所.
1900/1/1 0:00:00隨著DeFi爆發性的增長,如今正在進入激烈爭奪的階段,由于需求的快速增長和技術基礎設施之間存在突出的矛盾,DeFi的格局正處于不斷的變化和發展之中.
1900/1/1 0:00:00本文由金色財經記者黃立尊編譯,于12月22日首發于金色財經網站。該文為Messari年度報告的第六節,預測了2021年DeFi十大趨勢,或對新的一年想投資DeFi領域的投資者有所幫助,特此推薦.
1900/1/1 0:00:00文章系金色財經專欄作者幣圈北冥供稿,發表言論僅代表其個人觀點,僅供學習交流!金色盤面不會主動提供任何交易指導,亦不會收取任何費用指導交易,請讀者仔細甄別防上當.
1900/1/1 0:00:00