Pickle Finance遭攻击损失近2000万美元DAI 未经严格审计的DeFi路在何方?_DAI:Shinjarium

这一周,“科学家”们很忙。

11月14日,黑客攻击ValueDeFi的MultiStablesVault池子,获得近740?万美金的DAI;11月17日,黑客攻击OriginProtocol凭空铸造2050万枚OUSD。

今天凌晨2时37分,当人们还在熟睡之时,黑客攻击DeFi协议PickleFinance,捞得近2000万美元的DAI。

加密货币再次登上央视?DeFi沦为“科学家”的提款机?

11月18日,比特币冲击18,000美元,加密货币再次登上央视,此前,加密货币被誉为去中心化的金融工具首次登上央视。据央视报道,从投资回报率的角度来看,加密货币是今年真正的“头号”投资产品。“彭博银河加密货币指数”上涨约65%,超过金价逾20%的涨幅,也超过全球股市、债市和大宗商品市场的收益率。涨幅较高的一个关键原因是以太坊币价暴涨,涨幅达到169.40%。

《堡垒之夜》开发商Epic Games游戏商店上线首款NFT游戏:9月15日消息,区块链版“糖豆人”游戏Blankos Block Party在Epic Games Store上推出,成为该游戏市场上发布的第一个Web3游戏。

据悉,Blankos Block Party是区块链游戏公司Mythical Games制作的大型多人在线角色扮演游戏(MMO游戏)。此前2021年11月份,NFT游戏初创公司Mythical Games完成1.5亿美元C轮融资,a16z领投。(Decrypt)[2022/9/16 6:59:46]

央视解释道:“以太坊币价格攀升得益于去中心化金融工具的使用增加,以及疫情肆虐后各国出台的巨额刺激措施,让投资者选择了比特币、以太坊等加密货币进行保值。”

一方面,加密货币市场频频发出利好消息;另一方面,DeFi项目因未经严格审计频遭攻击。

Animoca Brands子公司的区块链赛车游戏获Epic Games的资金支持:金色财经报道,Animoca Brands子公司,澳大利亚独立游戏开发商Grease Monkey Games已获得游戏巨头Epic Games的资金支持,以开发新的基于区块链的赛车游戏Torque Drift 2。

根据Animoca Brands 8月18日的公告 ,Grease Monkey Games从Epic MegaGrant项目中获得资金,这将使该公司能够制作出迄今为止最身临其境和逼真的赛车游戏。(Cointelegraph)[2022/8/19 12:35:29]

据悉,今年9月10?日酸黄瓜PickleFinance启动流动性挖矿,9月14日V神发推文赞赏该项目,使其代币价格暴涨10倍。而遭到此次攻击后,酸黄瓜损失近价值2000万的DAI,同时24小时内其代币腰斩。

Pickle Finance被攻击后导致其PICKLE代币价格暴跌一半:11月23日消息,据Messari数据显示,自Pickle Finance被黑客攻击后,其原生代币PICKLE暴跌50.12%,直至10.17美元,此后稍有回升,截止当前其市值为11.41美元。(coindesk)[2020/11/23 21:45:53]

CoinmarketCap数据显示,PickleFinance代币的价格在24小时内,从22.7美元跌到10.2美元,它的市值在未销毁的情况下,24小时内蒸发了1220万美元。

发生了什么?

PeckShield通过追踪和分析发现,攻击者通过StrategyCmpdDaiV2.getSuppliedUnleveraged()函数查询资产余额1972万美元;

Yearn.Finance:yVaults未受到Pickle Finance被盗用事件的影响:Yearn.Finance官方刚刚发布推文称,Yearn没有任何资金存入Pickle Finance产品,yVaults也没有受到最近Pickle Finance被盗用事件的影响。[2020/11/22 21:38:26]

随后,攻击者利用输入验证漏洞将StrategyCmpdDaiV2中的所有DAI提取到PickleJar:这个漏洞位于ControllerV4.swapExactJarForJar()函数中,其中包含两个既定的伪Jar。在未验证既定Jar的情况下,此步骤会将存入的所有DAI提取到PickleJar,并进行下一轮部署。

接下来,攻击者调用earn()?函数将提取的DAI部署到StrategyCmpdDaiV2中。在内部缓冲区管理中,黑客调用了三次earn()函数,在StrategyCmpdDaiV2中生成共计950,818,864.8211968枚cDAI;

动态 | 加密资产投资公司 Picks & Shovels 和 CoinVantage 合并:据blog.picks消息,两家专业的加密资产投资服务公司 Picks & Shovels 和 CoinVantage 宣布合并,押宝机构投资者入场带来的服务商机。Picks & Shovels 是一家为加密资产领域的机构投资者提供专业投资工具的公司,推出了 Interchange 软件平台,可以帮助机构投资者监控和管理加密资产;CoinVantage 此前则是会计事务所 MG Stover & Co 旗下子公司,专业向加密资产投资领域的基金经理和投资者提供包括财务报表、行政管理等中后台支持。两家公司表示,合并后将整合提供加密资产的会计及资产管理工具。[2018/12/23]

第一次调用earn()函数存入1976万枚DAI,铸造903,390,845.43581639枚cDAI;

第二次调用earn()函数存入98.8万枚DAI,铸造45,169,542.27179081枚cDAI;

第3次调用earn()函数存入4.9万枚DAI,铸造2,258,477.11358954枚cDAI;

随后,攻击者调用?ControllerV4.swapExactJarForJar()?函数,利用任意代码执行将?StrategyCmpdDaiV2?中的所有?cDAI?提取出来,这一步中,_execute()?函数有两个参数:_target和?_data,_target?指的是目标地址,即图中橘色所示部分;_target?是一个加白的地址,攻击者没办法任意控制此地址,此处他们利用的是?CurveProxyLogic,该加白的合约(能通过?262?行?approvedJarConverter?的检查。也就是说,能被完全控制的是参数?_data,即图中紫色所示部分,_data?中包含?_execute()?函数可调用的add_liquidity()?函数,以及传给?add_liquidity()?的所有参数。

此时,咱们回到橘色框里的curve、curveFunctionSig、curvePoolSize、curveUnderlyingIndex、underlying,其中curve是一个地址,它表示橘色框里倒数第二行中的curve.call()?函数可以执行任意一个合约,因此,攻击者把curve设置成StrategyCmpdDaiV2,curveFunctionSig表示除了刚刚指定合约外,还可以指定要调用此合约的函数,通过此操作攻击者成功调用StrategyCmpdDaiV2.withdraw()?函数。

接下来就是组织蓝色框中的函数StrategyCmpdDaiV2.withdraw()?的参数?_asset,蓝色框中的?_asset实际上是橘色框框里的liquidity,liquidity由传入函数add_liquidity()?的underlying得来,underlying是另一个伪造的合约地址,它的balanceOf()?函数会返回cDAI的地址。攻击者将cDAI的地址设置成liquidity?,然后,liquidity被打包到callData里再传给withdraw()?函数,使得withdraw()?函数取出的?_asset就是cDAI的地址。值得注意的是,如果want==_asset,蓝色框里的函数就不执行,此设计的目的在于want是不允许被取出的,所以攻击者刻意取出对应的cDAI。

最后,执行回ControllerV4.swapExactJarForJar()函数,所提取的cDAI被存入恶意的?_toJar.在_toJar.deposit()函数里,所有950,818,864.8211968枚cDAI立即转入黑客地址

未经严格审计的DeFi能走多远?

针对此次PickleFinance被攻击事件,其审计公司Haechi发推文称,今年10月对其代码进行了一次审计,但是攻击者利用的漏洞发生在新创建的智能合约中,而不是接受安全审计的智能合约中。与此次漏洞攻击相关的代码存在于controller-v4.sol中的swapExactJarForJar,而非此前审计的controller-v3.sol中,该智能合约不包含swapExactJarForJar。

对此,PeckShield相关负责人表示:“有一些DeFi项目在做过第一次智能合约安全审计后,可能会为了快速上线主网,省略审计新增的智能合约,这种省略或能争取短时的利益,但就像此次攻击一样最终因小失大。DeFi们在上线之前一定要确保代码进行彻底地审计和研究,防范各种可能发生的风险。”

未经严格审计即上线的DeFi项目能走多远?

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

水星链

[0:0ms0-0:559ms