Alpha Finance被盗3750万美元事件回顾,黑客掌握了内部信息_币世界+核财经

2021-02-14 17:34 栏目:行业动态 来源:网络整理 查看()
*** 次数:15000 已用完,请联系开发者*** DeFi的黑暗艺术仍然是最有利可图的。

注:原文来自rekt

DeFi的黑暗艺术仍然是最有利可图的。

下面是我们至今遇到过最具戏剧性的故事之一。

一个虚假魔术,混乱及指控的故事,导致了迄今为止最大的DeFi黑客事件。

大约有3750万美元资金在一起复杂的DeFi欺骗案中被盗,这次攻击利用了多笔交易来突袭Alpha Finance的金库,同时让很多人相信是Cream的铁金库(Iron Bank)受到了影响。

Alpha Finance被盗3750万美元事件回顾,黑客掌握了内部信息_币世界+核财经

这起谋杀案发生在一个有镜子的大厅里,DeFi协议日益交织的性质,加上攻击的复杂性,使得社区对谁是真正的受害者,以及谁该负责赔偿感到困惑。

攻击者的合约导致Homora代码“相信”他们的恶意合约是他们自己的,目的是操纵系统中的内部债务数量。

这是协议和攻击者之间的一场私人战斗。被利用的合约尚未被公布,也未提供给用户,这意味着他们没有受到直接影响。我们还没有看到过这样一个明目张胆的内部作案,Alpha Finance很快指出,他们找到了一个“主要嫌疑人”。

如果合约还没有准备好,为什么还要部署在主网上?

在混乱中,大玩家迅速采取行动来保护自己的资本。SBF从Cream Finance中提取了价值4亿美元的FTT,三箭资本(Three Arrows Capital)则向币安发送了价值300多万美元的ALPHA代币,其唯一目的可能是出售掉它们。

与这次攻击相关的所有代币的价值均出现了下降。

1.Alpha Homora治理令牌ALPHA从2.25美元跌至1.78美元。

2.Iron Bank治理代币CREAM从288.32美元跌至193.51美元。

3.AAVE,其提供了这次攻击所需的闪电贷功能,它的治理代币从当天的518美元跌至492美元的低点。

然而,代币定价并不是这个故事中最有趣的方面。

Alpha Finance被盗3750万美元事件回顾,黑客掌握了内部信息_币世界+核财经

Alpha Finance团队发布了一篇出色的调查报告,而他们的发现是惊人的。我们联合调查的结果表明,腐败的程度比预期的要严重得多。

Alpha Finance是否会公开他们的指控还有待观察,但他们最初关于有主要嫌疑人的声明表明,影响正在到来。

从官方调查报告来看,我们可以看出,攻击者需要知道以下信息才能实施攻击:

1.HomoraBankv2为即将发布的版本部署了一个sUSD池子,这一版本既没有在UI上提供,也没有公开发布。

2.sUSD借贷池中没有流动性,因此攻击者可以完全操纵和夸大总债务金额和总债务份额;

3.借用函数计算中存在舍入错误计算,仅当攻击者是唯一借用者时才会产生影响;

4.resolveReserve函数可以在不增加totalDebtShare的情况下增加totalDebt,而实际上任何人都可以调用用于将收入收集到储备池的函数;

5.HomoraBankv2接受任何自定义spell,只要不变量检查出collateral>borrow(类似于Yearn中策略的spell);

在这么多用户的注视下,抢劫者留下了清晰的线索,在罕见的反击行动中,受害者将袭击者挑了出来。

上述要求证明,实施这一攻击需要内幕信息。然而,由于涉及协议和审计公司的范围,内幕人士可能有多个可能。

rekt不再是在做指控的生意,但我们期待着看到Alpha Finance如何处理这种情况。

以下是Alpha Finance表述的经过:

1.攻击者制造了一个邪恶的spell(相当于Yearn的策略)https://etherscan.io/tx/0x2b419173c1f116e94e43afed15a46e3b3a109e118aba166fcca0ba583f686d23

2.攻击者将ETH交换成UNI,并将ETH+UNI提供给Uniswap池子(获得ETH/UNI LP代币)。在同一笔交易中,在Uniswap上交换ETH->sUSD,并将sUSD存入Cream的Iron Bank(获得cysUSD)https://etherscan.io/tx/0x4441eefe434fbef9d9b3acb169e35eb7b3958763b74c5617b39034decd4dd3ad

3.使用邪恶的spell调用execute到HomoraBankV2,执行:借用1000e18 sUSD,将UNI-WETH LP存到WERC20,并在此过程中用作抵押品(绕过collateral > borrow检查),攻击者拥有1000e18 sUSD债务份额(因为攻击者是第一个借款人)https://etherscan.io/tx/0xcc57a

微信二维码
售前客服二维码

文章均源于网络收集编辑侵删

提示:仅接受技术开发咨询!

郑重申明:资讯文章为网络收集整理,官方公告以外的资讯内容与本站无关!
NFT开发,NFT交易所开发,DAPP开发 Keywords: NFT开发 NFT交易所开发 DAPP开发