比特幣價格 比特幣價格
Ctrl+D 比特幣價格
ads
首頁 > XRP > Info

DAI:Pickle Finance遭攻擊損失近2000萬美元DAI,未經嚴格審計的DeFi路在何方?_ICK

Author:

Time:1900/1/1 0:00:00

這一周,“科學家”們很忙。11月14日,黑客攻擊ValueDeFi的MultiStablesVault池子,獲得近740萬美金的DAI;11月17日,黑客攻擊OriginProtocol憑空鑄造2050萬枚OUSD。

今天凌晨2時37分,當人們還在熟睡之時,黑客攻擊DeFi協議PickleFinance,撈得近2000萬美元的DAI。加密貨幣再次登上央視DeFi淪為“科學家”的提款機?

11月18日,比特幣沖擊18,000美元,加密貨幣再次登上央視,此前,加密貨幣被譽為去中心化的金融工具首次登上央視。

鏈游工作室Gala Games將在Epic Games商店推出大逃殺游戲Grit:金色財經消息,鏈游工作室Gala Games將在Epic Games商店推出大逃殺游戲Grit,目前該游戲的推出時間尚未確定。(store.epicgames.com)[2022/6/6 4:06:06]

據央視報道,從投資回報率的角度來看,加密貨幣是今年真正的“頭號”投資產品。“彭博銀河加密貨幣指數”上漲約65%,超過金價逾20%的漲幅,也超過全球股市、債市和大宗商品市場的收益率。漲幅較高的一個關鍵原因是以太坊幣價暴漲,漲幅達到169.40%。央視解釋道:“以太坊幣價格攀升得益于去中心化金融工具的使用增加,以及疫情肆虐后各國出臺的巨額刺激措施,讓投資者選擇了比特幣、以太坊等加密貨幣進行保值。”一方面,加密貨幣市場頻頻發出利好消息;另一方面,DeFi項目因未經嚴格審計頻遭攻擊。據悉,今年9月10日酸黃瓜PickleFinance啟動流動性挖礦,9月14日V神發推文贊賞該項目,使其代幣價格暴漲10倍。而遭到此次攻擊后,酸黃瓜損失近價值2000萬的DAI,同時24小時內其代幣腰斬。CoinmarketCap數據顯示,PickleFinance代幣的價格在24小時內,從22.7美元跌到10.2美元,它的市值在未銷毀的情況下,24小時內蒸發了1220萬美元。

外媒:Yearn Finance合并Pickle或為壟斷人才:11月29日消息,高級開發人員Banteg發推表示,盡管Cronje的博客文章將Yearn 和Pickle的工作描述為“合并”,但Pickle公告是“開發人員合作”,并且Yearn Twitter官方帳戶將其描述為“共生關系”。 分析師Tyler Reynolds表示,激勵、培訓和引入新開發人員已成為該協議的優先事項,挖走有才華的開發人員和壟斷人才是Yearn的直接舉措。(cointelegraph)[2020/11/29 22:29:39]

發生了什么?

Pickle協議存儲庫已開源:Pickle Finance官方發推文稱,Pickle協議存儲庫現已開源。現在每個人都可以跟蹤開發進度。[2020/10/5]

PeckShield通過追蹤和分析發現,攻擊者通過StrategyCmpdDaiV2.getSuppliedUnleveraged()函數查詢資產余額1972萬美元;隨后,攻擊者利用輸入驗證漏洞將StrategyCmpdDaiV2中的所有DAI提取到PickleJar:這個漏洞位于ControllerV4.swapExactJarForJar()函數中,其中包含兩個既定的偽Jar。在未驗證既定Jar的情況下,此步驟會將存入的所有DAI提取到PickleJar,并進行下一輪部署。接下來,攻擊者調用earn()函數將提取的DAI部署到StrategyCmpdDaiV2中。在內部緩沖區管理中,黑客調用了三次earn()函數,在StrategyCmpdDaiV2中生成共計950,818,864.8211968枚cDAI;第一次調用earn()函數存入1976萬枚DAI,鑄造903,390,845.43581639枚cDAI;第二次調用earn()函數存入98.8萬枚DAI,鑄造45,169,542.27179081枚cDAI;第3次調用earn()函數存入4.9萬枚DAI,鑄造2,258,477.11358954枚cDAI;

Pickle Finance:PickleJar和策略處于12小時的時間鎖之下:DeFi挖礦項目Pickle Finance發推文稱,由于社區成員提出的擔憂,所有PickleJar和策略現在都處于12小時的時間鎖之下。(以前其僅適用于策略批準)[2020/9/23]

隨后,攻擊者調用ControllerV4.swapExactJarForJar()函數,利用任意代碼執行將StrategyCmpdDaiV2中的所有cDAI提取出來,這一步中,_execute()函數有兩個參數:_target和_data,_target指的是目標地址,即圖中橘色所示部分;_target是一個加白的地址,攻擊者沒辦法任意控制此地址,此處他們利用的是CurveProxyLogic,該加白的合約,然后,liquidity被打包到callData里再傳給withdraw()函數,使得withdraw()函數取出的_asset就是cDAI的地址。值得注意的是,如果want==_asset,藍色框里的函數就不執行,此設計的目的在于want是不允許被取出的,所以攻擊者刻意取出對應的cDAI。最后,執行回ControllerV4.swapExactJarForJar()函數,所提取的cDAI被存入惡意的_toJar.在_toJar.deposit()函數里,所有950,818,864.8211968枚cDAI立即轉入黑客地址。未經嚴格審計的DeFi能走多遠?

針對此次PickleFinance被攻擊事件,其審計公司Haechi發推文稱,今年10月對其代碼進行了一次審計,但是攻擊者利用的漏洞發生在新創建的智能合約中,而不是接受安全審計的智能合約中。與此次漏洞攻擊相關的代碼存在于controller-v4.sol中的swapExactJarForJar,而非此前審計的controller-v3.sol中,該智能合約不包含swapExactJarForJar。對此,PeckShield相關負責人表示:“有一些DeFi項目在做過第一次智能合約安全審計后,可能會為了快速上線主網,省略審計新增的智能合約,這種省略或能爭取短時的利益,但就像此次攻擊一樣最終因小失大。DeFi們在上線之前一定要確保代碼進行徹底地審計和研究,防范各種可能發生的風險。”未經嚴格審計即上線的DeFi項目能走多遠?

Tags:DAIPICJARICKYFDAI價格Moon TropicaJARED幣WICK價格

XRP
NFT:接棒DeFi熱潮,NFT將成為下一個風口?_btc交易平臺官網

您正在閱讀算力智庫第4篇微研報系列前言2020年,NFT市場快速增長,9月NFT市場交易量成功突破700萬美元,月內激增十倍以上;10月交易量突破800萬美元.

1900/1/1 0:00:00
區塊鏈:中心化中繼網絡是適合Layer0的解決方案嗎?_在coinbase無法提幣

編者按:本文來自MarlinProtocol,Odaily星球日報經授權轉載。概述本文描述了使用單個中心化中繼網絡進行Layer0擴展的局限性-中繼網絡本質上成為信任的焦點,支持雙重花費、51%.

1900/1/1 0:00:00
ROL:市場熱度再起,Layer2 能否解決以太坊擁堵問題_以太坊

編者按:本文來自imToken,Odaily星球日報經授權轉載。金融是區塊鏈最容易落地的場景。過去的一年,我們在以太坊生態中看到的各種去中心化的金融產品,很多都帶著傳統金融產品的影子,像是去中心.

1900/1/1 0:00:00
LIBRA:如果牛市降臨,我們真的準備好了嗎?_數字貨幣

BTC、ETH最近都創了近兩年的新高,牛市的步伐正在向我們靠近,有多近呢?按當前BTC價格18240U,離歷史最高點的19875U,僅僅只差一個10%的漲幅.

1900/1/1 0:00:00
比特幣:解析:為什么比特幣在拒絕1.85萬美元后閃電暴跌6%?_coincheck交易所怎么出金

編者按:本文來自Cointelegraph中文,作者:JOSEPHYOUNG,Odaily星球日報經授權轉載。比特幣的價格在幣安和Coinbase上漲至接近1.85萬美元后大幅下跌.

1900/1/1 0:00:00
比特幣:調查:73%百萬富翁持有或希望在2022年底前投資加密貨幣_加密貨幣行情軟件

編者按:本文來自Cointelegraph中文,作者:JOSHUAMAPPERSON,Odaily星球日報經授權轉載.

1900/1/1 0:00:00
ads