火星链 火星链
Ctrl+D收藏火星链
首页 > 狗狗币 > 正文

FILE:首发 | 操纵预言机就能空手套白狼?DEUS Finance DAO被盗1570万美元攻击事件分析

作者:

时间:1900/1/1 0:00:00

本文由Certik原创,授权金色财经首发。

北京时间2022年4月28日10:40:14,CertiK审计团队监测到DEUSFinance的合约被恶意攻击,造成了约1570万美元的损失。

攻击者恶意操纵DEI的价格,从DeiLenderSolidex合约中通过提供少量的抵押品提取了大量的DEI。

首发 | imKey正式支持Filecoin,成为首批Filecoin硬件钱包:12月1日,随着imToken2.7.2版本上线,imKey同步支持Filecoin,成为业内首批正式支持FIL的硬件钱包。Filecoin作为imKey多链支持的优先级项目之一,成为继BTC、ETH、EOS和COSMOS四条公链后的第五条公链。

据悉,imKey团队已在Q4全面启动多链支持计划,计划实现imToken已经支持的所有公链项目,本次imKey升级更新,无需更换硬件,不涉及固件升级,通过应用(Applet)自动升级,即可实现imKey对Filecoin的支持及FIL的代币管理。[2020/12/2 22:52:32]

漏洞交易https://ftmscan.com/tx/0x39825ff84b44d9c9983b4cff464d4746d1ae5432977b9a65a92ab47edac9c9b5

首发 | 区块链技术及软件安全实战基地正式成立:金色财经报道,今日,中软协区块链分会、人民大学、菏泽市局相关部门联合共建的区块链技术及软件安全实战基地正式成立。同时聘任中软协区块链分会副秘书长宋爱陆为区块链技术及软件安全实战基地特别专家。

区块链技术及软件安全实战基地主要涉及领域为:非法数字货币交易与、区块链与电信、网络、四方支付、冒用商标注册等,联合社会治理、城市安全、前沿技术领域的行业专家,进行警协合作。

据公开报道,近期菏泽市下属机关刚破获一起特大电信网络案,打掉多个涉嫌以网贷和投资“比特币”为名的团伙,抓获犯罪嫌疑人83名,扣押冻结涉案资金2700万元。[2020/7/21]

攻击步骤

首发 | 蚂蚁矿机S17性能曝光 采用全新散热技术及全局优化定制方案:金色财经讯,日前,比特大陆即将发布的蚂蚁矿机S17性能曝光。据蚂蚁矿机S17产品经理朋友圈称,新品将采用新一代散热技术及全局优化定制方案。据了解,该散热技术可能是指芯片的封装技术,也有可能是机器的散热结构设计。至于S17产品“全局优化定制”方案未有细节透露。有声音评价,这或许是为决战丰水期做出的准备。[2019/3/22]

①攻击者部署攻击合约并向借贷池DeiLenderSolidex合约提供抵押。

②随后攻击者利用攻击合约获得了超过143,200,000USDC用以发起攻击。

首发 | 百度推动246家博物馆线上藏品上链:金色财经讯,近日,百度超级链联合百度百科,基于区块链技术创建 “文博艺术链”,推动百科博物馆计划中的246家博物馆线上藏品上链。基于“文博艺术链”,百度将与博物馆共同推动线上藏品版权的确权与维护,同时探索线上藏品版权数字化交易方式,为合作的博物馆提供更全面的服务和更多的权益。据介绍,此项目将分阶段进行,一期将完成线上藏品的入链确权,为每一件藏品生产专属的版权存证证书。让每一名用户可以在百度百科博物馆计划的PC端和WAP端的藏品页查看证书。后续,百度还将推动AI与区块链技术在文博领域的结合应用,用来保障上链数据与藏品相匹配,为后续进行藏品图像版权数字化交易奠定基础。[2019/1/30]

③攻击合约将这143,200,000个借得的USDC在USDC/DEI交易对池0x5821573中换为9,547,716个DEI,此举导致DEI的价格被大幅提高。

④由于DeiLenderSolidex合约是用预言机来确定用户抵押品的价值,而预言机合约使用被恶意操纵的交易对池的价格作为价格来源。因此通过提高的价格和之前提供的抵押,攻击者可从借贷池中总计借贷到17,246,885DEI,这一数额远大于之前攻击者提供抵押的金额。

⑤攻击者用9,547,716个DEI交换到的143,184,725USDC来偿还闪电贷款,最终获取差价离场。

漏洞分析

通过闪电贷,攻击者能够操纵交易对的状态,并进一步操纵DEUS的预言机价格,以此利用不对等的价值借贷DEI。

资产去向

截至撰稿时,黑客已将攻击所得转到以太坊上并换成ETH,随后将5,446个ETH存入TornadoCash。

https://debank.com/profile/0x701428525cbac59dae7af833f19d9c3aaa2a37cb/history?

写在最后

预言机合约不应该直接使用交易对池中的价格作为价格来源,而安全审计可以有效地避免这一风险。

CertiK安全专家建议:如果只有代币合约被审计,这种情况在审计过程中将会指出第三方依赖风险。项目应该避免直接从交易对池中获取价格。建议根据项目的逻辑,使用更值得信任的预言机:

使用多个可靠的链上价格预言机来源,例如Chainlink和Band协议。

使用时间加权平均价格。TWAP代表了一个代币在特定时间范围内的平均价格。因此如果攻击者仅操纵一个区块的价格并不会对平均价格产生太大的影响。

如果合约模式允许,将函数调用者限制在一个非合约/EOA地址。??

闪电贷款只允许用户在一次交易中进行借贷。如果合约用例允许,可强制关键交易至少跨越两个区块。?

标签:DEI区块链FILFILEBRIGADEIRO价格区块链的核心是什么Film Cribfilecoin币价格查询

狗狗币热门资讯
DAO:Web3、NFT、元宇宙及音乐行业的未来

不管准备好与否,Web3已经到来,它需要我们的共同关注。对一些人来说,这是晚期资本主义地狱图景的最新篇章,而对另一些人来说,它将重塑这个世界.

1900/1/1 0:00:00
WEB3:为什么说去中心化社交网络时代是不可避免的?

去中心化社交网络的时代已经到来在Web3革命计划对货币体系、金融市场和劳动力的重建基础上,我们现在正处于一个历史转折点,社交网络的去中心化是不可避免的.

1900/1/1 0:00:00
AVA:Avalanche交易费用“暴涨”的原因和启示

Avalanche网络交易费用大幅增长的原因,主要是头部GameFi项目Crabada交易量激增导致,网络总收入的30%以上可能都来自Crabada上的套利机器人.

1900/1/1 0:00:00
CCN:复盘 Juno 没收日本巨鲸 Token 始末:DAO 治理的缺陷与改进

随着JunoNetwork17号提案的正式发布,持续两周的Juno巨鲸制裁事件似乎走到了新的转折点.

1900/1/1 0:00:00
BIN:经营不善 9%的Robinhood员工面临解雇

智通财经APP注意到,在上市后不到一年,RobinhoodMarketsInc(NASDAQ:HOOD)(HOOD.US)旗下3800名员工中,有9%的员工面临被解雇.

1900/1/1 0:00:00
STAR:万字长文探讨:ZK Rollup 价值如何捕获 会产生什么样的创新应用?

ZKRollup时代价值又如何捕获,会产生什么样的创新应用?导读:以太坊即将迎来它的Layer2时代,而在所有L2扩容技术中ZKRollup是最好的解决方案之一.

1900/1/1 0:00:00