木星链 木星链
Ctrl+D收藏木星链
首页 > BNB > 正文

EFI:DeFi项目Soda协议被曝安全漏洞,「苏打水」险流空

作者:

时间:1900/1/1 0:00:00

一场DeFi协议的漏洞险情最终在网友「曝光式」预警下得到了开发方的补救。被曝光存在漏洞的协议名叫Soda.finance,刚刚创建一周,目前团队尚处匿名状态。

9月20日下午,网友「废X废」在微博上警示DeFi用户,Soda协议的合约有漏洞,其中一个抵押借款池内的借款单可被人「随便清算」。

一个小时后,Soda协议方作出响应,分别提示借款人还款、抵押者提款的同时,表示将修复漏洞,暂停前端借款功能。

尽管如此,至9月21日凌晨,Soda抵押借款池中仍有400多个ETH被恶意清算。当日上午,该协议官方在Twitter上称,漏洞已修复,新部署的智能合约预计9月22日21点生效。

DeFi市场热络的同时,安全事故其实一直如影随形。从6月「流动性挖矿」引爆市场后,区块链安全机构PeckShield统计,6月、7月、8月共计17起安全事件发生在DeFi领域,至少造成400万美元的损失。

DeFi火爆的同时,安全事件也在警示每一位DeFi参与者:别被市场热度「烧光」了风险意识。

Soda存清算漏洞2万ETH遇险

数据网站DeFiLlama现已支持EthereumPoW:9月25日消息,DeFi数据网站DeFiLlama宣布,现已添加对EthereumPoW的数据追踪支持。[2022/9/25 7:19:43]

9月20日下午5点,网友「废X废」在微博上公开了一个有关Soda.finance协议的风险提示,「不要抵押WETH借SoETH,合约有漏洞,其他人可以随便清算你的借款单」。

废X废在微博爆料Soda合约存在漏洞

公开预警之前,「废X废」曾通过Soda公开的官方渠道通知过对方,「不过好像开发人员没在。」

公开信息显示,Soda于9月15日创建在以太坊上,它是一个抵押借贷场景的DeFi协议,国内用户喜欢用「苏打水」称呼该协议。按照Soda设计的规则,一个借贷池内,当借款人的债务和利息费用超过抵押资产的价值和清算比例时,债权人可以通过智能合约触发清算,按照协议规定的折现率获得SoETH凭证,从而获得债务人的抵押资产及协议提供的挖矿奖励。

DeFi社交交易平台Nested Finance已在Arbitrum上线:9月23日消息,DeFi社交交易平台Nested Finance现已在Arbitrum上线。据悉,Nested Finance允许用户创建投资组合,或者复制投资策略,被复制的交易者可赚取版税。[2022/9/23 7:15:50]

按照「废X废」的说法,他发现的这个漏洞将对SoETH/WETH抵押借贷资金池产生风险,即任何人借此漏洞对协议发起攻击,借款人抵押在上述资金池中的WETH将面临「被撸走」的风险。

在微博上回复其他网友时,「废X废」透露,他研究Soda的爆仓清算规则时发现了这个漏洞,「当时该协议上累计有超过2万个以太坊。」

2万ETH时值700万美元,留言网友也对「废X废」发现漏洞告知协议方而没有利用协议「撸走」2万ETH的行为表示赞许,甚至尊称他为「废老师」。

但废老师也表示,在发现这个漏洞后自己也清算了一个ETH,「之所以不清算所有人的,是不想惹麻烦。」

网友一边围观废老师的发现,也在等待Soda协议方的反馈。

9月20日近19点时,也就是在「废X废」通知协议方险情未获回复,又公开提示风险的1个多小时后,Soda发布公告,提示SoETH/WETH资金池的借款者尽快还款、抵押者及时退出的同时,表示将修补漏洞,暂停前端借款功能,如有用户因为这个漏洞受损,他们将尽可能推出补偿方案。

BNB Chain宣布成立DeFi联盟:2月17日消息,BNB Chain 宣布成立 DeFi 联盟,该联盟旨在加强 DeFi 中的用例和安全性、开发新产品并提供更多可能性。联盟将聚焦于创新、社区和安全性三个方面,将有助于在 DeFi 协议设计中充分考虑用户需求,并在部署之前彻底辩论和测试所有新功能,增强安全性并消除技术问题和错误。

DeFi 联盟的成员包括:PancakeSwap、LayerZero Labs、NodeReal、MCDEX、DODO、Venus Protocol、Deri Protocol、Tranchess、CelerNetwork、Alpaca Finance、ApolloX、Chainlink 以及 GSR。[2022/2/17 9:57:14]

Soda团队至今匿名被疑国内背景

然而,这个漏洞还是被人利用了。「废X废」于9月21日凌晨披露的围观记录显示,至少有5个地址借漏洞尝试攻击,共「撸走」了约446个ETH,时值15万美元。

DeFi 概念板块今日平均涨幅为7.24%:金色财经行情显示,DeFi 概念板块今日平均涨幅为7.24%。47个币种中41个上涨,6个下跌,其中领涨币种为:REP(+16.11%)、ZRX(+15.65%)、BZRX(+14.79%)。领跌币种为:HOT(-9.98%)、DMG(-5.05%)、LEND(-1.42%)。[2021/7/22 1:08:45]

废X废围观攻击者的操作记录

截至目前,Soda协议的SoETH/WETH资金池内尚有等值ETH的2156个SoETH。对于之前被恶意清算走的资产如何解决,Soda官方还没有做出回应。

事实上,Soda协议自9月15日上线后就未公开代码审计结果的相关信息,团队信息处于匿名状态。协议一即上线,中心化交易所Gate.io的平台币GT便出现在Soda的流动性挖矿池内,抵押GT可以挖得SODA奖励,另外两个挖矿池的抵押资产是USDT和ETH。不过,目前Gate.io还未上线SODA的交易。

BiKi平台DeFi币种今日普涨 NEST领涨:据BiKi行情数据显示,截止今日12:00(GMT+8),平台内DeFi币种今日普涨,NEST领涨,今日涨幅为85.91%,现价0.1916USDT;OKS今日涨幅49.08%,现价0.08744USDT;MCB今日涨幅31.73%,现价5.7668USDT;OKS今日涨幅为45.87%,现价0.00021ETH。行情波动较大,请注意风险控制。[2020/8/10]

Soda提供GT抵押挖矿流动池

有用户质疑Soda的开发团队系国内人员,一个依据是,此次漏洞事件后,官方在社交平台Discord上的公告用中文写就。该平台的Soda讨论组内,当官方客服用英文发布信息时,有用户调侃,「别发英文了,大家英文都不好,看不懂说什么。」Soda官方并对团队背景做出回应。

9月21日,Soda协议漏洞的后续进展在推特上披露,官方称,目前漏洞已修补,并部署了新的智能合约。不过,由于智能合约有时间锁,补丁修复后至少需要48小时才能生效。其官网显示,新的智能合约生效时间预计在9月22日晚上9点。

部分协议存在「自留后门」恶性

Soda协议的漏洞问题依然只是DeFi领域的一个小小缩影。事实上,自从6月「流动性挖矿」将DeFi送上市场「热搜」后,安全事故从未在这个板块中停止。?

令人印象最深的恐怕是Yam.finance,刚出道大火,就因漏洞问题直接导致协议不到两天就中止运行,YAM一度归零。1个月后,Yam才在审计后重启。

蜂巢财经根据PeckShield数据整理

区块链安全机构PeckShield的月报显示,6月、7月、8月三个月内,共计17起安全事件发生在DeFi板块,至少造成了400万美元的损失。

进入9月,知名抵押借贷协议bZx被盗走了4700ETH,好在后来被找回;稳定币协议Lien也被发现存在代码漏洞。

有业内人士透露,部分国内团队打造的DeFi协议多为以太坊上成熟协议的山寨版,由于照搬开源代码仅做简单修改后匆忙上线,常常因修改代码而出了岔子,「原来是正确的,结果被改错了,」其中,增发漏洞是个十分危险的问题。

更可怕的是,市场上已经出现了协议开发团队主动「留后门」的乱象。不久前,区块链安全公司PeckShield安全人员在例行DeFi新上线项目风控扫描时发现,SushiSwap的新仿盘项目YUNo修改了代币发行逻辑,存在恶意留后门,方便给管理员无限增发代币的权限。

在这种高知识门槛下,对于普通用户来说,密密麻麻的代码简直是天书,没有计算机和互联网工程职业背景的他们,根本无从判断协议的安全性。他们参与DeFi挖矿就是在玩一场场碰运气的游戏,毫无技术武装,如同裸奔。

对此,区块链安全机构成都链安的创始人杨霞支招,普通投资者在不懂代码的情况下,可以看项目方的公开透明程度,比如代码是否经过第三方审计,审计结果、项目方团队信息是否公开等等,「越公开透明的项目,可信度相对越高」。

杨霞提示投资者,除了查看项目公开信息外,还可以分析项目模式,项目方的获利点是否是完全模仿其他项目等信息。「如果完全模仿其他获利项目,且项目方信息又不明确的,就需要提高警惕了。这种项目团队的技术能力不是很强,或者干脆就有意留后门。」她建议,投资者要选择自己综合分析后认为有投资价值的项目去参与,切勿在不了解项目的情况下盲目跟风。

对于真正想在DeFi领域创业的开发方,杨霞建议,协议未经过安全审计前不要上线,相比起上线时间的推迟产生的影响,代码漏洞导致的损失可能更大,「安全审计是目前公认的较好的方法,除此之外,项目方在开发时,可以预先设计好一些挽救措施,安全问题发生时可以让损失降到最低。」

她举例,使用代币转账的Pausable功能,在发生安全事件时可以停止资金流动;通过代理实现代码逻辑与资金分离也是可以考虑的方法。「但在使用这些方法时,也要保证权限的合理划分,避免项目方权限过大,使其成为一个中心化的智能合约」。

匿名网络,漏洞当前,在有价资产的利益诱惑下,并非每个人都愿意去做「废X废」这样的「吹哨人」。DeFi挖矿协议层出不穷,与之同行的是一起起安全事件,这一声声的警钟都在提醒DeFi参与者,别被市场热度「烧光」了风险意识。

互动时间:如果你发现协议有漏洞,会通知项目方吗?

标签:EFIDEFIDEFSODADeFi Pulse IndexDeFiHorseAmun DeFi Momentum IndexSODA币

BNB热门资讯
EFI:DeFi的中场时刻:除了FOMO,下半场DeFi还能靠什么

引言:仅仅两年,DeFi一骑绝尘。尽管我们看到发展过程中险情不断,但在经历一系列狗血剧情和大风大浪之后的DeFi越发显现去中心化+金融的独特魅力。新玩法在不断增加,行业规则开始逐渐形成.

1900/1/1 0:00:00
EFI:Defi:区块链热爱者的《信条》

转自:代观“不要尝试理解它,去感受它。“电影《信条》国内公映之际,正是这轮Defi浪潮的一个高点:基于以太坊的Sushi把刚火了一个月的YFI打成了“古典Defi”;基于波场的各种蔬菜币将迎接孙.

1900/1/1 0:00:00
USD:OKEx投研 | 比特币反弹如预期受阻回落,下行空间还有多大?

免责声明:本专栏內容概不构成任何投资意见,內容亦并非就任何个别投资者的特定投资目标、财务状况及个别需要而编制。投资者不应只按本专栏內容进行投资.

1900/1/1 0:00:00
UNI:10亿刀UNI空投后遗症,嫉羡、后悔与迷茫,疯狂过后如何收场?

DEX龙头Uniswap发币后,1.1亿个UNI已被无偿空投,最高价值近10亿美元。这恐怕是人类历史上规模最大的、最高效的、非政府主导的“撒钱行为”,不少投资者惊呼,“如果这都不算区块链革命,那.

1900/1/1 0:00:00
USD:大盘如期下跌,恐慌情绪加剧

作者|哈希派分析团队华尔街分析师:比特币的波动性与苹果或亚马逊等大盘股没什么不同:华尔街金融分析师、比特币支持者Max Keizer发推文表示.

1900/1/1 0:00:00
比原链:比原链CEO朗豫:DeFi让用户真正理解区块链,意义重大

9月29日上午,比原链首席执行官朗豫在火星区块链主办的?POW''ER2020DEFI创新者大会?发表题为《MOV的DeFi之道》的演讲.

1900/1/1 0:00:00