有报告称 Vyper 0.2.15、0.2.16 和 0.3.0 版本存在漏洞,导致 Curve 上的许多池有遭受重入攻击的风险。该漏洞允许攻击者在移除流动性过程中调用添加流动性函数。
目前,总共有6,930万美元受到影响,其中1,670万美元已被白帽黑客追回。这也意味着此次事件造成了5,200万美元被盗,成为了2023年迄今为止金额最高的重入攻击。
2023年7月30日,专为以太坊虚拟机(EVM)设计的面向合约的编程语言 Vyper 编译器0.2.15、0.2.16 和 0.3.0 版本被宣布存在重入锁失效漏洞。多个 DeFi 项目受到该漏洞的影响,损失总额达 5,200 万美元。
CertiK 已确定有六个地址涉及此次事件。第一个(0x172)未能利用区块 17806056 中的漏洞。最初的漏洞利用者从 Tornado Cash 提取了 0.1 ETH,并继续创建攻击合约。然而,一个跑在前面的钱包(0x6Ec21)支付了更多的gas费用,并率先执行了交易,获得了大约 6,100枚WETH(1,140 万美元)。
CertiK:NFT项目WitLink疑似发生Rug Pull,已删除官网社交帐户:7月10日消息,据CertiK检测,NFT项目WitLink疑似发生Rug Pull,该项目删除了Twitter帐户、Discord、Facebook、Instagram和网站。[2022/7/10 2:03:44]
由MEV机器人在前置交易失败的漏洞 来源:Etherscan Etherscan
该漏洞导致了进一步的损失:EOA 0xDCe5d 获得了价值约 2,100 万美元的资产。涉案钱包明细如下图:
共有6个项目受到影响,约有6,930万美元被盗走,其中1,670万美元已被归还,总计损失约为5,200万美元。
Vyper 是以太坊虚拟机(EVM)的一种面向合约的 pythonic 编程语言。Vyper 的测试版从 2017 年就开始有了,但其首个非测试版本是于2020年7月发布的 0.2.1 版。
Solidity是以太坊生态系统中的主流语言,它比Vyper存在的时间要长得多,因此许多社区成员创建了专门使用 Solidity 运行的工具。根据 DeFiLlama 的数据显示,在DeFi协议中价值约700 亿美元的总锁仓价值(TVL)中,Vyper 智能合约占 21.7 亿美元,而 Solidity 则占绝大多数,高达 674.9 亿美元。
Cering Swap已完成CNG认购:据官方消息,9月9日跨链聚合去中心化交易所Cering Swap在两个小时内完成CNG认购,并获得15倍的超额认购,该轮融资由布洛克团队主导,tokenmania、AlphaCoin Fund、DHVC、FINCITY等区块链VC领投,此轮认购将用于促进Cering Swap的生态开发。Cering Swap是ZKN的重要生态应用之一,隶属于Zikini Labs实验室,目前已经组建完成独立开发团队。[2021/9/10 23:15:06]
根据语言划分的总锁仓价值 来源:DeFiLlama
截至2023年5月10日,Vyper的主导地位从 2020 年8月的30%高点降至 6.27%。尽管 Vyper的TVL 主导地位明显低于Solidity,但这一事件仍导致6,200万美元受到影响。
不同编程语言在 TVL 中的主导地位 来源:DeFiLlama
编译器版本
Cere将通过Republic,DAO和Polkastarter推出80倍超额认购后的公募:据官方消息,去中心化数据云(DDC)平台Cere Network宣布在Republic(4月8日)、DAO Maker(4月15日)和Polkastarter(4月19日)上公开发售。
Cere此前已经从一系列知名VC包括Binance Labs、OKEx、Republic Labs、Arrington XRP Capital、Kenetic Capital、Fenbushi Capital和AU21 Capital等筹集了1000万美元。最近一次500万美元的融资获得了80倍的超额认购,并在Republic上公开发行前完成。
据悉,Cere于2019年推出,Cere Network得到包括Gate.io、ZB exchange、Ankr、Ledger Prime、Woodstock fund、JRR Capital、Spark Capital、LD Capital、NGC Capital、QCP Capital、Monday Capital、G1 Ventures等在内的风投财团和生态系统合作伙伴的支持。[2021/4/1 19:36:19]
编译器版本是指编程语言编译器的特定版本,编译器将人类可读的源代码转换为机器可读的代码。
编译器版本会定期更新,以引入功能、修复漏洞并增强安全性。Vyper 语言目前不提供白客漏洞悬赏计划。
Balancer获得由三箭资本和DeFiance Capital牵头的500万美元投资:2月11日消息,DeFi项目方Balancer Labs宣布已获得由三箭资本(Three Arrows Capital)和DeFiance Capital牵头的一轮500万美元投资。两家风险投资公司现已加入Pantera Capital和Alameda Research进行投资,使Balancer的A轮融资总额达到1200万美元。(Cointelegraph)[2021/2/11 19:28:51]
版本 0.2.15 - 0.3.0
上文提到的就是Vyper 的0.2.15、0.2.16 和 0.3.0版本中发现了漏洞,导致了多个DeFi项目遭到重入攻击。
而最早的Vyper 漏洞版本 0.2.15 发布于2021年7 月23日。到同年12月发布 0.3.1 版时,之前的漏洞已不复存在。
时间线
事件最初开始于北京时间7月30日晚9点10分,攻击者针对Curve 上 JPEG’d池的交易由于前置运行交易而失败。
北京时间7月30日晚10点,JPEG‘d 确认 pETH-ETH Curve池已被恶意利用。
动态 | CoolBitX和MetaCert合作 阻止数字货币地址网络钓鱼攻击:据CoolBitX官网消息,硬件钱包开发商CoolBitX宣布与安全软件公司MetaCert合作,为数字货币交易提供安全性和透明度。CoolBitX将MetaCert协议的地址注册表直接集成到CoolWallet S移动应用程序中。[2018/7/31]
Vyper 随后宣布,0.2.15、0.2.16 和 0.3.0 版本包括了一个失效的重入锁。Vyper 发布推文后,Metronome 和 Alchemix 也受到了影响。
Metronome DAO 宣布消息:
北京时间第二天凌晨,Curve Finance在 Discord 上发布公告称,剩余的资金池不受Vyper Bug的影响,是安全的。
Curve Finance 在 Twitter 上宣布,Arbitrum上的一个资金池有可能受到影响,但没有可供恶意行为者执行的有利可图的漏洞,这意味着资金池不太可能受到攻击。CertiK也尚未检测到任何其他利用Vyper漏洞的攻击。
以下是以JPEG’d为目标的交易示例:
攻击者: 0x6ec21d1868743a44318c3c259a6d4953f9978538
攻击合约: 0x466b85b49ec0c5c1eb402d5ea3c4b88864ea0f04#code
1. 攻击者首先从 Balancer:Vault中借入80,000 WETH (约合149,371,300美元)
2. 然后,攻击者将WETH 换成 ETH,调用 pETH-ETH-f.add_liquidity(),将 40,000 ETH(约合74,685,650美元)添加到 pETH-ETH-f 池中。作为回报,攻击者收到了32,431枚pETH(pETH-ETH-f)。
3. 攻击者调用 remove_liquidity() 删除了在步骤2中添加的流动性。3,740 pETH 和 34,316 ETH 被转入攻击合约,攻击合约的 fallbak() 函数被触发了,将控制权交给了攻击者。在 fallback() 函数中,攻击者又向 pETH-ETH-f 池中添加了40,000 ETH的流动性,并收到了 82,182 pETH。
4. 攻击者再次调用remove_liquidity(),取出10,272pETH,收到47,506 ETH和1,184pETH。然后,攻击者在pETH-ETH-f 池中用4,924枚 pETH交换了4,285枚ETH。
总的来说,攻击者从第3步获得了34,316枚ETH,从第4步获得了47,506和 4,285枚ETH,共计 86,107枚ETH。在偿还了 80,000 ETH闪电贷后,攻击者还剩下6,107 ETH(约11,395,506美元)。
该漏洞允许攻击者在移除流动性过程中调用添加流动性函数。虽然这些函数本应受到 /img/202386163346/14.jpg" />
Vyper_contract for Curve.fi Factory Pool 数据源: Etherscan
继利用 JPEG'd、Metronome 和 Alchemix 漏洞之后,Vyper 的 v0.2.15、v0.2.16 和 v0.3.0 版本确实存在重入保护失败的漏洞。
使用易受攻击的Vyper版本的项目应联系 Vyper协助进行缓解。项目也应尽量升级到不含此漏洞的最新版Vyper。
Vyper被攻击事件是CertiK2023 年检测到的最大的重入漏洞。就资金损失而言,该攻击损失金额占据了此类事件的78.6%。
今年两起最大的重入漏洞,都是利用Vyper编写的合约,尽管漏洞并不相同。
目前,2023 年所有链中因重入攻击造成的损失已超过 6,600 万美元。这比 2020年全年多出约400万美元,仅比 2021年的损失额少100万美元。值得注意的是,2023年的总额也比 2022 年因重新定位攻击造成的损失增加了 259.45%。
CertiK中文社区
企业专栏
阅读更多
Foresight News
金色财经 Jason.
白话区块链
金色早8点
LD Capital
-R3PO
MarsBit
深潮TechFlow
坎昆升级简介Cancun-Deneb(Dencun,以下简称为坎昆升级)是以太坊区块链下一个重要的升级,将提高以太坊网络的可扩展性、安全性和可用性.
1900/1/1 0:00:00作者:Lisa A.,Taiko Labs;翻译:金色财经xiaozou本文将从rollup角度探讨不同L2跨链消息传递方法,着重探讨无需信任的跨链通信.
1900/1/1 0:00:00作者:MARCEL PECHMAN,COINTELEGRAPH;编译:松雪,金色财经8月1日,金融界发生了一件大事:知名信用评级机构惠誉(Fitch)将美国政府的信用评级从最初的AAA下调至AA.
1900/1/1 0:00:007 月 25 日晚间,zkSync 上 TVL 最高的借贷协议 EraLend 突遭黑客攻击.
1900/1/1 0:00:00作者:比推BitpushNews Mary Liu加密数据公司 Arkham Intelligence 周一宣布了其首个链上情报交易所 Arkham Intel Exchange.
1900/1/1 0:00:00作者:比特丛林随着数字化进程的不断深入,区块链技术已成为许多领域的重要驱动力,它不仅为金融、医疗、物流等传统行业带来了颠覆性的变革,而且也为参与者带来了更加开放和透明的体验.
1900/1/1 0:00:00