FUR:Furucombo被盗1400万美元启示录：切勿过度授权

北京时间2月28日凌晨，以太坊协议组合工具Furucombo智能合约出现一个严重漏洞。攻击者已经利用该漏洞获利超过1400万美元。

PeckShield分析发现，该漏洞与几天前PrimitiveFinance出现的漏洞原理相同，与用户的无限授权有关。

由于CreamFinance未及时从钱包里撤销所有对外部合约的授权，因此受到该漏洞的影响，造成损失约110万美元。?

澳大利亚歌手Sia Furler将与FTX合作推出NFT收藏品:12月6日消息，澳大利亚歌手Sia Furler将与FTX合作，在Opensea上推出NFT收藏品。FTX创始人Sam Bankman-Fried在推特透露了这一合作消息。Sia希望能够与粉丝分享其NFT项目，并让粉丝投票决定她通过创建“Siaverse”加入Web3.0运动时创作的歌曲。她认为这很有趣，也是一种新的艺术创作方式。她在12月4日举行了NFT项目发布会，并表演了一首当天早上写的歌。（Beincrypto）[2021/12/6 12:53:00]

DeFi聚合器Furucombo于2020年3月推出，最初只支持UniswapV1交易及Compound供应功能。2020年12月，Furucombo添加连接Uniswap，Compound和Aave等协议。

Infura以太坊2.0 API已启动 用户可以通过Infura获取信标链信息:Ethereum和IPFS的API服务供应商Infura表示，Infura以太坊2.0API测试版已启动，用户可以通过Infura以太坊2.0 API访问以太坊信标链，分析以太坊信标链的状态，并简化和提高以太坊2.0验证节点设置的可靠性。[2021/2/3 18:46:18]

其首席执行官Hsuan-TingChu曾表示：“Furucombo不同于1inch和YearnFinance，Furucombo聚合各种DeFi协议。使用Furucombo，所有都'无需许可'。"

动态 | 比特币矿业公司Hut 8收购Bitfury的9个数据中心，以建设新的采矿场:据bitcoinexchangeguide消息，加拿大的一家加密矿业公司Hut 8 Mining Corp在以700万美元的价格从Bitfury收购了9个数据中心后，已经完成了在Drumheller的采矿场的建设。Hut 8的首席执行官Andrew Kiguel 认为，此次收购将使Drumhekker设施能够充分发挥作用，并向Hut 8提供公司的全部所有权。最新的收购使Hut 8的整体容量增加了16％，其运行容量已提高到大约110 MW和963 PH / s。据9月份提交的最后一个季度报告，该矿场共开采了12305个BTC。该公司还是第一家在多伦多证券交易所上市的区块链公司。[2019/12/1]

同时，Furucombo允许用户进行无抵押快速贷款和借入任何数量的资产。

PeckShield通过追踪和分析发现，Furucombo协议具有乐高性，此次漏洞与用户的无限授权有关。首先攻击者制造了一个攻击智能合约，并将其运行于易受到攻击的Furucombo代理中；

Furucombo调用白名单中的AaveLendingPoolv2函数，并在函数中附带攻击合约地址，调用AaveLendingPoolv2:：initialize函数，该函数可进一步调用提供的攻击合约；

最后，在用户未撤销授权的情况下，攻击者可通过攻击Furucombo代理，盗取用户钱包里的资产。

在流动性挖矿的引领下，DeFi于2020年再次起飞，并成为金融革新的焦点，在这一领域的玩法也越发多样。由于协议内存放着各类有价资产，让DeFi亦成为被攻击的重灾区。

PeckShield安全专家表示：“DeFi聚合器Furucombo把乐高性玩到极致的同时，对每个环节的审计更是至关重要，新的组合会不断变化和适应，这就要求对合约进行定期的、持续的安全审计，而不是在启动前打勾。”

在处理资产时，需谨慎授权。DeFi正经历一个前所未有的增长时期，在这个时期，信任的成本非常高。

随着DeFi行业规模迅猛增长，尤其是业务和运营合作上的不断发力，组合过程中潜在的安全问题会愈发凸显出来。黑客在攻击某一DeFi合约漏洞获利后，会利用同原理的漏洞对其他DeFi合约进行依次攻击。

PeckShield提示各DeFi合约，一旦发生攻击事件后，应自查代码，如果对此不了解，及时找专业的审计机构进行审计和研究，防患于未然。

标签：FURCOMCOMBOUCOMetafury3COMMAS价格furucombo币kucoin创始人

非小号热门资讯