比特幣價格 比特幣價格
Ctrl+D 比特幣價格
ads

777:DeFi攻擊頻發:ERC-777難辭其咎?_Valuedefi vSWAP

Author:

Time:1900/1/1 0:00:00

譯者序:DeFi協議Uniswap及dForce于4月18、19日相繼受到重入攻擊,損失金額高達數千萬美元。有驚無險的是,dForce已追回被盜資產并歸還用戶。一時之間,矛頭直指ERC-777代幣標準。然而,ERC777 本質上作為ERC-20的擴展,目的是增加新功能從而提升用戶體驗。我們是否真的要因噎廢食?DeFi又應該如何突破安全瓶頸?

僅僅只是一個周末的時間,智能合約帳戶被盜金額高達數千萬美元。

Uniswap的imBTC資金池遭到黑客攻擊,導致價值30萬的代幣丟失。時隔不久,dForce也遭到了類似的攻擊,盡管大部分的失竊加密貨幣目前已被歸還。這兩起事件都是利用重入攻擊向量漏洞發起攻擊。

有人聲稱ERC-777代幣標準的某些函數存在漏洞是造成這兩起攻擊的原因。但是,重入攻擊漏洞已司空見慣,尤其在2016年的DAO攻擊發生期間名聲大噪。因此實際上,攻擊與ERC-777代幣標準本身無關。

DeFiLlama創始人正式推出NFT借貸協議LlamaLend:金色財經報道,DeFi數據網站DeFiLlama匿名創始人0xngmi宣布正式推出NFT借貸協議LlamaLend,允許借款人抵押NFT并獲得固定利率的ETH即時貸款。[2022/10/28 11:52:30]

重要的是,隨著這個新興行業的發展,我們必須要認識到各種協議的優點和缺點,鼓勵開放協作與爭議,共同致力于提高行業標準。

怪罪于代幣標準是無建設性的,并且會誤導大眾。旨在解決舊問題的新代幣標準本身更具備安全性,卻因此或許面臨被質疑的風險。反之,我們要對這種不斷演變的事實進行周全的分析并采取行動。

ERC-777是什么?

以太坊代幣即運行于以太坊之上的數字貨幣,在生態系統中發揮著獨特而重要的作用。各個代幣由其智能合約表示,其他DApp和用戶與這些智能合約進行交互。

因此,以太坊引進了代幣標準,以此來簡化生態系統中的諸多DApp與代幣之間的交互,從而提高可組合性。秉承著成為 “標準代幣接口” 的目標,ERC-20代幣標準最初于2015年投入開發。此處是ERC20代幣標準運作機制的相關指南。

數據:stETH目前是DeFi借貸協議Euler Finance上第二大借入資產:6月12日消息,Token Terminal發推稱,stETH目前是DeFi借貸協議Euler Finance上第二大借入資產(borrowed asset)。

此前6月初消息,基于以太坊的DeFi借貸協議Euler Finance宣布完成3200萬美元融資,Haun Ventures領投,Variant、FTX Ventures和Jump Crypto等參投。

據悉,Euler Finance使用了一種框架式的借貸風險評估方案,團隊將于今年晚些時候推出DAO,使用戶能夠對Euler的開發和運營進行治理,并決定如何使用其社區金庫。[2022/6/13 4:20:53]

隨著時間的推移,以太坊代幣與生態系統建立起越來越多的聯系,應用范圍越來越廣泛。代幣的用例和應用日益增多,更加復雜的智能合約對基本ERC-20代幣標準提出了更高的要求,因此其部分局限性也隨之開始顯現。

DeFi平臺deFIRE完成500萬美元融資:金色財經報道,Cardano上的DeFi平臺deFIRE周四宣布,已在即將進行的IDO之前完成了500萬美元的融資。Axia8 Ventures、Lotus Capital、Hype Partners、Moonwhale、Newtribe Capital和一些個人投資者參與了投資。[2021/5/14 22:00:31]

實際上,最初該標準是為處理基本功能性而設的,因此不適用于所有用例。

盡管當今大多數代幣都遵循ERC-20標準,但仍有部分代幣在此基礎上根據自身需求添加自定義功能。結果,部分非標準功能 (稱為 “擴展功能 (extension)” ) 已添加到各個代幣。

譬如,ERC-20標準不支持鑄造和銷毀功能,但事實上這些功能是必需的,于是便被添加為擴展功能。在某些情況下,功能需求部分重合,因此各種代幣添加的擴展功能不盡相同。

ERC-20標準的這種分散性使DApp集成過程,甚至整體可組合性不必要地復雜化。為了解決這種分散性問題,社區試圖就新標準達成共識。

中幣(ZB)DeFi挖礦播報:DeFi挖礦總鎖倉量約3806萬美元:據中幣(ZB)平臺數據,今日DeFi挖礦總鎖倉量約為3806萬美元,其中存USDT、存ZB和存QC挖礦的鎖倉量小幅下降,存ETH挖礦的鎖倉量不變。[2020/10/14]

經過持續兩年的開放討論,這項新的ERC-777代幣標準于去年推出。ERC-777代幣標準的功能更為強大,它 “試圖對廣泛使用的ERC20代幣標準進行改良”,并成為其正式化的完全擴展版本。

它引入并 “明確了與代幣交互所需的高級功能”,使代幣持有者能夠更好地控制其資產。所有ERC-777代幣都向后兼容ERC-20標準,這意味著如果DApp或錢包支持ERC-777標準,那么也就支持ERC-20 標準。

ERC-20是一種簡單的代幣格式。正是得益于其簡易性,目前已有眾多項目和團隊利用該標準相對輕松地構建了新的DApp,既促進了生態系統的發展,也激發了創新創造活力。然而,它的局限性也使其面臨用戶體驗方面的持續挑戰。

DeFi項目y3d Protocol將開啟y3d挖礦,首次開放礦池為yCrv:DeFi項目y3d Protocol宣布于北京時間周三凌晨3:00開啟y3d挖礦,首次開放的礦池為yCrv。y3d項目結合了yam和p3d的機制,用戶抵押的資產可以同時挖出y3d和crv,并且在取出時會收取5%的yCrv作為合約的利潤平均分給其它礦工。y3d作為社區治理代幣,一共僅發行21000枚,并且礦池的crv代幣收益將會參與回購銷毀。截止目前,合約中已經抵押了超過20000枚yCrv。[2020/8/25]

ERC-777標準旨在解決ERC-20標準固有的兩個主要問題

1.ERC-20僅對以太幣 (ETH) 交易做出響應。批準并轉賬需要進行兩個步驟,這一缺點導致諸多用戶體驗問題。最明顯的問題是,處理單個請求需要發起兩筆獨立的交易。ERC-777則能通過執行功能實現代幣的轉入,無需借助ETH作為媒介,從而簡化了轉賬流程。

2. “用戶操作失誤” 導致價值數百萬美元的代幣丟失。用戶通常將其代幣發送到智能合約,而不是區塊鏈目的地址。由于尚未界定在處理此類錯誤的情況下`transfer` 函數的標準行為,所以ERC-20合約無法檢測到此類錯誤。

ERC20代幣標準的這一特征 “是一個軟件bug,可歸類為軟件漏洞”。相比之下,ERC-777智能合約能夠檢測到此類錯誤并拒絕錯誤的代幣轉賬行為。

ERC-777標準與某些協議不兼容

ERC-777標準的特定函數是其獨特的特征。這些函數實現了協議之間的互操作性,這對于擴展以太坊生態系統至關重要。

但是,由于ERC-777代幣標準是去年才引入的,所以這些特征可能與某些協議不相兼容,尤其是某些先前部署的智能合約。

鑒于以太坊的快速發展以及新興去中心化金融智能合約的日益復雜,存在不兼容性不足為奇。但重要的是,也要盡快解決協議中的這些問題,因為它們暴露在攻擊向量的入侵之下。對于其他各種不兼容性來說也是一樣的道理,不僅僅是針對ERC-777標準。

隨著該新標準的采用率越來越高,其他項目也就必須支持ERC-777代幣,或者以其他方式實施必要的安全措施,以保護自身項目免受此類攻擊。不幸的是,許多項目并沒有做到以上兩點。

在某些情況下,例如,即使Uniswap團隊公布了 V.1版本存在此問題,也只是不鼓勵用戶鎖定其ERC-777代幣到流動性池中。

Uniswap團隊似乎還錯誤地以為,轉賬代幣時受到重入攻擊,合約仍處于安全狀態。請注意,這種假設對于任何一種智能合約都不成立,但是某些協議還是將代幣轉賬(不僅是ETH轉賬)錯誤地假定為比正常情況更安全。不幸的是,上上個周末發生的重入攻擊正是操縱了此漏洞。

發起重入攻擊即操縱智能合約中進行交互 (進行“交流”和互操作) 的函數對合約進行攻擊。例如,用戶兌換其代幣時或許會涉及三個智能合約;智能合約A (一種dApp或協議如Uniswap)與智能合約B (代幣智能合約如imBTC,或另一種dApp或協議) 進行交互,然后智能合約B與智能合約C (任何能夠由黑客創建,只為盜取資金的智能合約) 進行交互。

如果智能合約C受攻擊者劫持,它可以發送代幣請求,但會偽造收到資金的確認信息。發送代幣至智能合約C的請求仍然執行,但是攻擊者可以繼續假裝從未收到代幣。由于這是一個自動化過程,因此無法進行干預,除非用戶意識到正在受到攻擊并終止合約。

前車之鑒

這種攻擊向量暴露在被攻擊的風險下。作為以太坊互操作性的一項關鍵特征,它可以通過多種方式加以操縱。代幣智能合約也是發起重入攻擊的工具之一。最近發生的imToken / Uniswap和dForce攻擊就是如此。

我們不能因噎廢食,攻擊事件并不足以為DeFi時代劃上句號,甚至不足以使我們質疑ERC-777代幣標準的安全性。

ERC-777代幣的數量正在穩定增長。諸如Augur之類的團隊正在決定將其代幣格式從ERC-20升級為ERC-777。隨著DeFi行業的發展,我們必須了解使用此類創新技術的風險以及如何將風險降至最低,這一點至關重要。

這種漏洞的優點在于,它屬于代碼錯誤,而非傳統金融行業中普遍存在的固有的系統性缺陷——腐敗、過度監管和排斥性。通過DeFi,我們已經將信任從人類轉移到代碼身上。因此,盡管總會有人存心利用代碼,但是至少代碼本身并沒有從人類身上獲利的企圖。當今的經濟體系卻并非如此。

作為DeFi行業的一份子,我們應該不斷改進標準,使每次迭代都變得更強大、更安全。目前,ERC-777具有一系列優勢,能為代幣持有者和DApp帶來價值。我們應該始終致力于改進ERC-777標準以及今后所有的標準。DeFi要脫穎而出,突破口正在于此。

來源 | Medium

作者 | Provable Things

Tags:777EFIDEFDEFI777幣子機加難塊在哪里呀IDEFIValuedefi vSWAPDeFi Forge

比特幣最新價格
數字貨幣:金色百科 | 數字貨幣與加密貨幣、虛擬貨幣的區別_數字貨幣交易所排行榜

數字貨幣(Digital currency)數字貨幣是一種不具備實體形式的,僅以數字形式存在的貨幣,在英語語境中與電子貨幣同意,而在中文語境下,一般將電子貨幣理解為電子化的法定貨幣.

1900/1/1 0:00:00
EFI:DeFi 的預言機問題或許無解_XDEFI

憑借能夠消除對可信第三方需求的智能合約,去中心化金融(DeFi)本質上是一項旨在取代金融遺留系統的絕大多數功能(即使不是全部)的運動。然而,按目前的情況來看,DeFi 并沒有完全實現這個目標.

1900/1/1 0:00:00
LED:多OR空?認準這根線就夠了_dHEDGE Top Index

文章開始前,先吹波牛,走一波關注!你懂的.。前期大餅崩盤前,本人在03月04日參加金色沙龍、即BTC血崩前,就看空2020減半!以及早在大半年之前,2019.09.03比特幣還是一萬刀以上的時候.

1900/1/1 0:00:00
區塊鏈:金色前哨 | Lendf.me攻擊事件黑客疑似泄露個人IP_區塊鏈域名是什么意思

加密貨幣借貸平臺Lendf.me正在被盜風波中。黑客通過Lendf.me合同中的關鍵缺陷以及如何更新用戶余額相結合來借用了Lendf.me平臺上幾乎所有可用的代幣,金額超過2500萬美元的各種加.

1900/1/1 0:00:00
數字貨幣:中信證券:數字貨幣提速背后有哪些深意?_數字人民幣怎么用紅包

央行數字貨幣推進再提速,反映數字經濟需求與海外央行推進示范。央行發行+商業銀行(支付機構)分發的雙層運營體系日漸清晰,未來支付機構功能與定位或重構:銀行有望借數字錢包加快布局支付業務;第三方支付.

1900/1/1 0:00:00
區塊鏈:金色前哨 | a16z尋求為第二支加密貨幣基金籌集4.5億美元資金_2021年比特幣價格走勢圖

英國《金融時報》周二報道,硅谷投資巨頭Andreessen Horowitz(a16z)正尋求為其第二支專注于加密貨幣的基金籌集4.5億美元資金.

1900/1/1 0:00:00
ads