DEF:DeFi 面臨四面楚歌？Inverse Finance被盜取約1500萬美元_INV

2022年4月2日，成都鏈安鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示，Inverse Finance 項目遭受攻擊，累計損失估計大約1500萬美元。成都鏈安技術團隊第一時間對此事件進行了相關分析。

1 分析如下

攻擊地址1：

0x117c0391b3483e32aa665b5ecb2cc539669ea7e9

攻擊地址2：

0x8b4c1083cd6aef062298e1fa900df9832c8351b3

DeFIL發布仿冒DeFIL平臺虛假信息的安全提示:據官方消息，近日有社區用戶反應，某些團隊以假借DeFIL平臺名義創建官方網址、官方電報群，并仿冒DeFIL平臺的測試、抽獎等系列活動，要求用戶向他們轉入DFL獲取更多DFL。經DeFIL社區自治團隊查實，是仿冒DeFIL平臺創建的虛假鏈接。

DeFIL社區自治團隊在此提醒廣大用戶，請認準DeFIL官方網站、官方電報群，切勿點擊不明來源的鏈接，防止登錄釣魚平臺端。DeFIL平臺不會向任何用戶收取資金，社區客服不會詢問任何用戶密碼，私鑰、短信，二步驗證等敏感信息。[2021/8/18 22:22:10]

攻擊交易hash:

Huobi DeFi Labs投資總監Unica：中心化業務在多鏈生態中，也占有一席之地:5月11日，在以《跨界腦暴：眺望Solana生態大宇宙》為主題的AMA中，Huobi DeFi Labs投資總監Unica表示，中心化業務在可以預見的多鏈生態中，因為跨鏈可交互性和效率的優勢，也占有一席之地。所以我們充分開放與各方的合作，為多鏈拓撲結構的生成助力。Solana具有獨特的技術優勢和旺盛的生態生命力，所以我們以此為始來進行探索。[2021/5/11 21:49:19]

0x20a6dcff06a791a7f8be9f423053ce8caee3f9eecc31df32445fc98d4ccd8365

DeFi總鎖倉量達到485.7億美元:金色財經報道，據Debank數據顯示，DeFi當前總鎖倉量億為485.7美元，真實鎖倉量為353.1億美元，目前鎖倉量排名前三位的DeFi項目/協議分別是：Maker（58億美元）、WBTC（48億美元）、Compound（40億美元）、Uniswap（39億美元）、Curve（38億美元）。

注：總鎖倉量（TVL）是衡量一個DeFi項目使用規模時最重要的指標，通過計算所有鎖定在該項目智能合約中的ETH及各類ERC-20代幣的總價值（美元）之和而得到。[2021/2/7 19:09:09]

0x600373f67521324c8068cfd025f121a0843d57ec813411661b07edc5ff781842

分析 | DeFi周報：DeFi項目鎖倉價值11.3億美元，過去一周環比增加9.63%:據DAppTotal.com DeFi專題頁面數據顯示：截至目前，已統計的32個DeFi項目共計鎖倉資金達11.3億美元，其中EOSREX鎖倉3.52億美元，占比31.08%，排名第一位；Maker鎖倉3.13億美元，占比27.66%，排名第二位；排名第三位的是Edgeware鎖倉1.52億美元，占比13.48%；Compound，Synthetix、dYdX、Nuo等其他DeFi類應用共占比27.78%。截至目前，ETH鎖倉總量達327.81萬個，占ETH市場總流通量的3.03%，EOS鎖倉總量達1.1億個，占EOS市場總流通量的10.64%。整體而言：1、過去一周，DAI的市場總流通量平均為8,627萬美元，目前在DeFi借貸市場未償還資產中，DAI占比84%；2、受行情波動的影響，DeFi項目整體鎖倉價值較上周環比增長9.63%。[2019/10/28]

攻擊合約：

0xea0c959bbb7476ddd6cd4204bdee82b790aa1562

首先攻擊者從Tornado.Cash取出900 ETH為拉高INV代幣價格做準備。

攻擊者使用300個 ETH，兌換出374個INV代幣，再用200 ETH兌換1372個INV代幣，累計兌換1746個INV代幣，這里可以發現第一個池子用300個ETH只兌換出374個INV，而后面卻使用200 ETH兌換出1372 INV代幣，第一個池子WETH/INV中的INV價格已經明顯被拉高。

在計算Xinv代幣價格時，依靠WETH/INV (0x328dfd0139e26cb0fef7b0742b49b0fe4325f821)這個pair去計算。因為pair這個池子已經被操縱了，再加上timeElapsed間隔時間短，那么攻擊者需要滿足不在當前區塊調用，就可以利用操縱的價格，那么就可以操縱xINV代幣的價值。

可以看到當攻擊操縱了pair之后，就不停的發送mint交易，用于確保自己能夠最大化利用時間窗口。同時，攻擊者巧妙的避開了操縱價格的區塊（14506358?）去mint，不然將會使用操縱價格區塊的前面區塊去計算價格。

然后攻擊者直接把自己持有的1746 INV代幣全部mint（這里算是抵押），換取1156個xINV代幣（LP代幣），再依靠持有的xINV借出大量代幣。

Inverse finance?項目方累計損失估計大約在1500萬美元。

在此，成都鏈安建議項目方使用足夠長的時間窗口，例如可以參考以下Uniswap的示例代碼，timeElapsed必須大于24小時以上。

Tags：DEFDEFIEFIINVDeFi on MCWDefiBoxyefi幣行情Decentralized Community Investment Protocol

狗狗幣