北京时间9月14日消息,DeFi借贷协议bZx再次遭到攻击,而这次攻击共造成了大约800万美元的损失,据bZx联合创始人Kyle Kistner最初提到称:“这似乎是一次预言机操纵攻击。”
在攻击被发现后,bZx团队立即使用管理密钥暂停了协议,据悉这次攻击交易利用了闪电贷和Synthetix,“但它不会影响Synthetix系统,尽管它确实涉及了sUSD,” bZx在twitter上写道。
而在bZx官方公布的安全报告中提到:
以下是这次安全事故的时间线:
bZx团队注意到协议锁定值(TVL)出现了异常变动;
数据:DeFi协议总锁仓量达488.7亿美元:金色财经报道,据Defi Llama数据显示,DeFi协议总锁仓量(TVL)达到488.7亿美元,24小时涨幅为0.36%。TVL排名前五分别为Lido(115.7亿美元)、MakerDAO(74.1亿美元)、AAVE(52.1亿美元)、Curve(44.4亿美元)、Uniswap(40.9亿美元)。[2023/4/23 14:21:34]
发现iToken合约有异常,该异常的发生与 _internalTransferFrom() 函数相关;
在确定修复方案后,iToken的铸造和燃烧被暂停(借款和交易不受影响);
DeFi协议Balancer宣布与WSBDApp集成:金色财经报道,自动化做市商Balancer今天宣布与区块链交易平台WSBDApp建立战略合作伙伴关系。此次合作将使 WSBDApp的去中心化交易所交易投资组合 (ETP) 在 Balancer V2 上推出,进一步扩大 DeFi 的可能性并增加对加密原生投资者和传统投资者的加密风险敞口。[2021/9/8 23:10:24]
受影响的iToken合约的新版本得到部署,余额得到更正;
团队将补丁代码发送给派盾(Peckshield)和Certik进行审查;
DeFi 概念板块今日平均跌幅为1.50%:金色财经行情显示,DeFi 概念板块今日平均跌幅为1.50%。47个币种中17个上涨,30个下跌,其中领涨币种为:ZRX(+7.28%)、REP(+6.10%)、REN(+3.81%)。领跌币种为:KCASH(-11.31%)、MLN(-11.24%)、HOT(-11.09%)。[2021/7/8 0:35:48]
iToken的铸造及燃烧恢复;
每个ERC20代币都有一个 transferFrom()函数是用于负责传输代币的。可以调用这个函数来创建一个 iToken并将其传递给自己,从而允许你人为地增加余额。
Crypto.com DeFi钱包Swap宣布集成1inchV3:6月23日,Crypto.com宣布旗下DeFi钱包已与DEX聚合器1InchV3集成,用户现在可以直接通过DeFi钱包App中内置的Swap功能无缝交换200多个具有更低网络费用和更高流动性的ERC20代币。[2021/6/23 0:00:21]
下面是攻击涉及的技术细节:
使用相同的_from和 _to地址调用了传输函数;
用相同的参数调用Immediately _internalTransferFrom;
下面的代码行存在故障:
当_from和_to地址相同时,会导致_balancesFrom和_balancesTo相等。
那么
上面的问题导致 _balancesFrom余额的减少,并增加_balancesTo的余额,最后最重要的部分是保存_balancesFromNew和 _balancesToNew。那么攻击者就能够有效地人工增加自己的余额。
然后,下面就是补丁代码:
这可以防止攻击者增加自己的余额,据悉,修补后的代码已被发送给Peckshield和Certik进行审查,而双方都批准了这些更改。
尽管,问题很快得到了解决,但这次安全事故确实造成了协议很大的损失,根据官方公布的信息显示,这次事件导致了以下这些债务:
219,199.66 LINK
4,502.70 ETH
1,756,351.27 USDT
1,412,048.48 USDC
667,988.62 DAI
以当前市场价计算,这些损失的代币的价值达到了800万美元。
根据Bzx团队公开的信息显示,该协议此前已经过安全公司Peckshield及Certik的严格审计,其中Peckshield对bzx协议的审计用到了12人周的工作量,而Certik则花费了7人周的工作量。此外,bzx协议团队还进行了广泛的自动化测试,不幸的是,审计并不是灵丹妙药。
而在这次安全事件中,由于bzx协议团队控制了管理密钥,因而能够及时地应对这一事件,否则损失问题将会更大。
显然,这次事故再次为我们敲响了DeFi安全性的警钟,即便是得到审计公司的把关,也无法确保代码不存在漏洞,而近期涌现出来的大量新DeFi项目,它们的安全隐患显然要更大。
最后,一首凉凉,送给流动性挖矿。
DAO是币圈中去中心化自治组织的缩写,最早见于以太坊刚诞生的那段时间,因The DAO事件而知名,在被市场冷漠了好几年之后,于去年爆发,引起了许多人的关注,很多区块链团队纷纷宣布将项目DAO化.
1900/1/1 0:00:00最近DeFi、DEX、Stake、Uniswap、SushiSwap 还有这些新出的平台爆表的收益率让踏空的老韭菜们一头雾水,更是想了解怎么参与到里面也来赶一波潮流.
1900/1/1 0:00:00最近对乌克兰的入侵让世界陷入了一种充满不确定性、动荡和地缘风险的状态。全球金融市场的动荡给数百万投资者造成了巨大的损失.
1900/1/1 0:00:00元宇宙吸引着大家的好奇心,但虚拟土地的价格已经让许多想参与的人望而却步。有那么一群人,为了让元宇宙中的生活更易于访问,正在默默做出努力.
1900/1/1 0:00:00本周NFT市场用户数量、交易量相对稳定,市场热度保持平稳。万事达、亚马逊和Meta在NFT领域都有了新的举措.
1900/1/1 0:00:00昨日,韩国 SBS 电视台宣布将与 NFT 项目 Treasure Club 合作,实现旗下节目的 NFT 化,涉及不少核心 IP ,比如《Running Man》、《TV 动物农场》等.
1900/1/1 0:00:00