比特幣價格 比特幣價格
Ctrl+D 比特幣價格
ads
首頁 > 幣贏 > Info

INV:Inverse Finance被盜1450萬美元事件分析-ODAILY_South African Tether

Author:

Time:1900/1/1 0:00:00

北京時間2022年4月2日19時,CertiK安全技術團隊監測到InverseFinance被惡意利用,導致價值約1450萬美元的資產受到損失。

該事件發生的根本原因在于外部價格預言機依賴導致價格被操縱,因此攻擊者可通過操縱價格來借用資產。

攻擊流程

在發起攻擊之前,攻擊者做了如下準備:

1.首先,攻擊者部署了一個惡意合約。該合約地址為:0xea0c959bbb7476ddd6cd4204bdee82b790aa1562

2.其次,攻擊者在SushiSwap/Curve.fi中進行調換,以操縱交易中的價格,該交易地址為:0x20a6dcff06a791a7f8be9f423053ce8caee3f9eecc31df32445fc98d4ccd8365

Zeus Investments成立新團隊擬涉足區塊鏈和加密貨幣基金市場:金色財經報道,韓國戰略風險投資公司 Zeus Investments 宣布已組建一支新的專業團隊擬涉足區塊鏈和加密貨幣基金市場,該團隊由 Emily Roberts 領導,將密切關注區塊鏈和加密貨幣市場的最新發展和趨勢,為客戶提供多元化的投資選擇,并且通過研究和分析對一些行業內的新興趨勢、有前途的項目、創新型初創公司進行戰略投資。(雅虎財經)[2023/5/24 15:23:02]

由于SushiSwap:INV的流動性非常低,用300ETH換取INV將大幅增加INV價格。

隨后,攻擊者正式發起攻擊:

1.攻擊者把在準備階段獲得的INV存入,并鑄造了1746枚XINV代幣。

資管公司Purpose Investments申請在加拿大推出三只加密貨幣ETF:10月20日消息,資管公司 Purpose Investments 向加拿大證券監管機構申請推出三只新的加密貨幣交易所交易基金(ETF):“Purpose Crypto Opportunities ETF”、“Purpose Bitcoin Yield ETF”、“Purpose Ether Yield ETF”。“Purpose Crypto Opportunities ETF“旨在投資與數字資產相關的公司,“Purpose Bitcoin Yield ETF“與“Purpose Ether Yield ETF”則是通過衍生品來間接投資比特幣和以太坊。Purpose Investments 還計劃推出一個私募基金,以提供DeFi敞口。(雅虎財經)[2021/10/20 20:43:49]

2.XINV的價格計算:根據SushiSwap:INV對中的INV價格所計算。如上所述,INV的價格被操縱,因此每XINV的價值為20926美元。

動態 | InvestingHaven發布2020年20個市場預測,涵蓋加密貨幣市場:金色財經報道,InvestingHaven研究團隊發布了2020年20項市場預測,覆蓋所有全球市場,尤其是股票市場、大宗商品和加密貨幣。研究團隊在關于加密貨幣的七大預測中提到,盡管2020年的一部分可能仍在建立基礎(整合),但加密牛市將在2020年繼續。長期加密貨幣將蓬勃發展,但只有那些在“采用”方面成功的貨幣才會繁榮發展。此前,該團隊表示,XRP價格將在2020年形成一個巨大的圓弧底部形態,這將為2020年開始的看漲結果奠定基礎。此外,該團隊表示,即使有可能出現區間波動的市場,他們仍堅信2020年比特幣價格將定向上漲。[2019/12/25]

3.隨著XINV的價格被修改,攻擊者能夠用鑄造的XINV代幣借用到如下資產:1588枚ETH,94枚WBTC,3999669枚DOLA與39枚YFI。

聲音 | 比特幣開發者ArminVanBitcoin:BTC價格暴跌時 更需警惕山寨幣:比特幣開發者ArminVanBitcoin在推特上表示,當BTC價格暴跌到6000美元時,更應該注意其他山寨幣的比率,這可能是某些聰明的投資者在愚弄其他比特幣投資者,向他們傾銷山寨幣,而自己卻借機多入手BTC。[2018/8/31]

合約漏洞分析

該漏洞主要原因是對價格預言機具有依賴性,并且這中間有30分鐘的窗口期。而攻擊在準備階段完成后正式發生,僅僅用了15秒。

在這種情況下,因為timeElapsed==15,預言機合約Keep3rV2Oracle的函數_update()中'timeElapsed>periodSize'的檢查將被繞過。這意味著最后的累積價格還沒有被更新。由此可見,函數_computeAmountOut()中的amoutOut會比預期的數額大,因為priceCumulative已經被操縱了,但_observation.priceCumulative沒有被更新。

韓國區塊鏈公司GLOSFER與COINVIL聯合在菲律賓建立數字貨幣兌換處:據newswire報道,今日,韓國區塊鏈公司GLOSFER宣布,與COINVIL達成協議,聯合在菲律賓建立數字貨幣兌換處。[2018/5/10]

一方面,XINV的價格依賴于SushiSwap:INV對的儲備,其流動性非常低。

另一方面,TWAP可以防止閃電貸攻擊。理論上,攻擊者能夠通過"犧牲"一些錢來操縱價格,也就是說,用他自己的錢來改變價格。在這個特殊的價格預言機設計中,如果經過的時間沒有超過30分鐘,當前的價格不應該被用來計算出金金額。

資產追蹤

據CertiKSkyTrace顯示,價值約1450萬美元的資產被盜后已被轉移到TornadoCash。

其他細節

利用漏洞進行交易的準備期間:

https://etherscan.io/tx/0x20a6dcff06a791a7f8be9f423053ce8caee3f9eecc31df32445fc98d4ccd8365

利用漏洞進行交易發起攻擊:

https://etherscan.io/tx/0x600373f6752132https://etherscan.io/tx/0x600373f67521324c8068cfd025f121a0843d57ec813411661b07edc5ff781842

攻擊者地址1:https://etherscan.io/address/0x117c0391b3483e32aa665b5ecb2cc539669ea7e9

攻擊者地址2:

https://etherscan.io/address/0x8b4c1083cd6aef062298e1fa900df9832c8351b3

攻擊合約:

https://etherscan.io/address/0xea0c959bbb7476ddd6cd4204bdee82b790aa1562

預言機合約:

https://etherscan.io/address/0x39b1df026010b5aea781f90542ee19e900f2db15#code

SushiSwapINV-ETHPair:

https://etherscan.io/address/0x328dfd0139e26cb0fef7b0742b49b0fe4325f821

XINV合約地址:https://etherscan.io/address/0x1637e4e9941d55703a7a5e7807d6ada3f7dcd61b#code

Keep3rV2預言機合約地址:

https://etherscan.io/address/0x39b1df026010b5aea781f90542ee19e900f2db15#code

寫在最后

現如今,很多項目都會用到預言機,部分項目還會對其具有很強的依賴性。安全審計,會審查預言機的設計合理性、價格算法以及經濟模型等。

因此,CertiK的安全專家建議:盡量避免使用流動性低的池子作為價格預言機價格來源,同時對項目進行安全審計從而保證預言機模型的正確性。

Tags:INVETHTHEHERStellar Invictusbeth幣關聯Ethernity ChainSouth African Tether

幣贏
加密貨幣:AAX將于香港K11購物藝術館推出其首個NFT快閃店-ODAILY_REN

2022年4月12日,致力服務所有人的AAX加密貨幣交易所今天宣布其首個NFT快閃店即將開幕,主題為“TheEarlyDaysofCrypto–Apes.Pixels.Gods”.

1900/1/1 0:00:00
OLA:Ola Finance攻擊事件分析:400萬美元丟了,你以為這是愚人節故事?-ODAILY_SSOL

北京時間2022年3月31日上午10時左右,Fuse上的OlaFinance被惡意利用,導致約400萬美元資產遭受損失.

1900/1/1 0:00:00
HAI:Chainlink VRF v2在BNB Chain上正式發布-ODAILY_AIN

BNBChain開發者社區致力于為智能合約開發者提供頂尖的開發基礎架構,幫助他們打造出成熟且安全的去中心化應用.

1900/1/1 0:00:00
比特幣:頂峰課堂:經濟術語「敞口」-ODAILY_MOBTC價格

敞口是金融領域的一個重要概念,表示在金融活動中存在金融風險的部分,以及金融活動受金融風險影響的程度。簡單理解就是,從事什么金融活動,對應就有什么敞口.

1900/1/1 0:00:00
USD:TRC20-USDT持有賬戶數突破1200萬-ODAILY_brc20s

據最新消息,TRC20-USDT持有賬戶數達到12,105,579,突破1200萬。此外,TRC20-USDT流通量也已突破417億枚.

1900/1/1 0:00:00
DEX:談談DEX:深入研究去中心化的交易所-ODAILY_cardano

也許你已經知道WMT上線CardanoDex的消息。為防止你在我們的Telegram頻道看到“WENDEX”時滿頭問號,今天我們來講講“DEX”.

1900/1/1 0:00:00
ads