两级反转?黑客攻击yDAI保险库后,Curve坐收渔翁之利。
北京时间2月5日,YearnFinance发推文表示v1yDAI保险库遭到攻击。
YearnFinance核心开发者@banteg表示:“保险库被利用,攻击者获得280万美元,保险库损失1100万美元。在我们调查期间,v1DAI、TUSD、USDC、USDT保险库的策略存款将禁用。”
区块链服务平台 PlayDapp 与 3D 元宇宙引擎 Redbrick 达成合作:5月16日消息,区块链服务平台 PlayDapp 与3D 元宇宙引擎 Redbrick 签署战略业务合作伙伴关系,以扩展元宇宙内容并加强区块链集成。PlayDapp 计划通过应用区块链技术和专业知识,在 Redbrick 元宇宙项目的多个方面进行合作,包括将提供 NFT 支持和 NFT 市场服务,并分享内容开发和运营知识。[2022/5/16 3:18:38]
PeckShield通过追踪和分析发现,此次攻击与此前安全研究员Wen-DingLi所披露的在Yearn.finance的TUSDVault上发生的快速贷款攻击漏洞相似。?
Yearn Finance:yDAI保险库已恢复 已用YFI铸造近970万枚DAI:2月9日晚间,Yearn Finance官方发布推文表示:“yDAI保险库已恢复。Yearn用YFI从Treasury开设了一个Maker保险库,铸造了970万枚DAI,并使yDAI Vault完整。Yearn团队还附上交易信息,显示约1591.529枚YFI保证金用作铸造价值近970万枚DAI代币。此前2月5日消息,Yearn v1 yDAI保险库遭到攻击,损失1100万美元。”[2021/2/10 19:22:51]
首先,攻击者从dYdX和AaveV2借出闪电贷;
yearn.finance:yDAO已经创建:8月9日消息,DeFi聚合收益协议yearn.finance发推称,yDAO已经创建。根据DeFi Rate编辑Cooper Turley的描述,本着可持续发展的精神,yDAO社区资助被用于资助对yEarn生态系统的增值贡献。任何人都可以申请与yEarn相关任务的资金。以1份= 0.1 YFI的基本利率向任何人开放。yDAO使用DAOhaus和MolochV2标准构建;专注于资助项目,而不是协议级治理。
yDAO被用来汇集DAI和YFI,作为已知社区成员根据情绪和影响投票决定资金分配的可信储备。DAO可能资助的工作类型包括智能合约审核、UI升级、基于yToken的产品、内容创建、YIP奖金等。DAO不会资助的类型包括过于雄心勃勃的想法,几乎没有经过深思熟虑的行动计划;YFI分叉;交易所上线以及场外交易。[2020/8/9]
随后,攻击者利用所借资产通过对3pool的存取操作导致其中代币不平衡;
接下来,攻击者将DAI存放至yDAI保险库中,触发继续投资到受影响的策略投资中,恶化了3pool中不平衡交易的状态,攻击者立即从恶化的不平衡状态中获利;
攻击者重复利用上述步骤并且避免触发?0.5%的滑点控制,最终偿完一开始的闪电贷,造成yDAI保险库损失1100万美元。
值得注意的是,受影响的策略有执行滑点控制,但目前没有提币费用,这使得漏洞有利可图。为了避免触发滑点控制,攻击者反复利用上述步骤,确保攻击成功。攻击发生后,YearnFinance立即禁用保险库策略。
做遏制DeFi借贷波动利率“无形的手”?YearnFinance保险库还不够保险。
2020年9月底YearnFinance的开发人员就曾披露修补了可能会使yDAI,yTUSD和yUSD保险库的资金面临风险的漏洞。11月TUSDVault上出现的快速贷款又出现同类攻击漏洞后,所幸迅速修复。多次修修补补后,仍未逃过一击。
PeckShield安全公司多次提醒,项目方不仅要将代码做到极致,还要防患于未然,一旦有DeFi攻击事件发生,就要自查代码,及时查缺补漏。
截至目前,YearnFinance?核心开发者banteg表示,黑客已经窃取了51.3万枚DAI和170万美元的USDT,其余的以CRV代币的形式存在。
Aave创始人StaniKulechov则表示,这次攻击包含一个复杂的漏洞,涉及多个DeFi平台的160多笔交易,花费了逾5000美元的Gas费用。
风投投资者JulienThevenard指出,从vault被盗的资金中,有超过300万美元被DeFi贷款平台Curve上的流动性提供商接收。?
郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。