EFI:慢雾合伙人启富：NFT或是下一个方向 但落地需要时间

DeFi 很火，这个夏天业内仿佛打入鸡血一般地参与到这个生态，创新、革命，各类项目此消彼长。不过，热闹背后，却是暗流涌动。

2020年4月18日，Uniswap 爆出智能合约漏洞，该漏洞被人利用盗取了数十万美金的资产；次日，Lendf.me 因相同漏洞，被一位程序员（非黑客）盗取了数千万美金的资产；因为智能合约漏洞，上线36小时，红极一时的Yam迅速消亡。?

安全，已经是悬在DeFi头上的达摩克利斯之剑。有痛点就有市场，在这场狂欢中，“慢雾盖章”成了保障的标志。

近日，在厦门举办的“共为创业者大会”上，金色财经就DeFi安全采访了慢雾科技合伙人 Keywolf启富。

慢雾：Inverse Finance遭遇闪电贷攻击简析:据慢雾安全团队链上情报，Inverse Finance遭遇闪电贷攻击,损失53.2445WBTC和99,976.29USDT。慢雾安全团队以简讯的形式将攻击原理分享如下：

1.攻击者先从AAVE闪电贷借出27,000WBTC,然后存225WBTC到CurveUSDT-WETH-WBTC的池子获得5,375.5个crv3crypto和4,906.7yvCurve-3Crypto,随后攻击者把获得的2个凭证存入Inverse Finance获得245,337.73个存款凭证anYvCrv3Crypto。

2.接下来攻击者在CurveUSDT-WETH-WBTC的池子进行了一次swap,用26,775个WBTC兑换出了75,403,376.18USDT,由于anYvCrv3Crypto的存款凭证使用的价格计算合约除了采用Chainlink的喂价之外还会根据CurveUSDT-WETH-WBTC的池子的WBTC,WETH,USDT的实时余额变化进行计算所以在攻击者进行swap之后anYvCrv3Crypto的价格被拉高从而导致攻击者可以从合约中借出超额的10,133,949.1个DOLA。

3.借贷完DOLA之后攻击者在把第二步获取的75,403,376.18USDT再次swap成26,626.4个WBTC,攻击者在把10,133,949.1DOLAswap成9,881,355个3crv,之后攻击者通过移除3crv的流动性获得10,099,976.2个USDT。

4.最后攻击者把去除流动性的10,000,000个USDTswap成451.0个WBT,归还闪电贷获利离场。

针对该事件，慢雾给出以下防范建议：本次攻击的原因主要在于使用了不安全的预言机来计算LP价格，慢雾安全团队建议可以参考Alpha Finance关于获取公平LP价格的方法。[2022/6/16 4:32:58]

慢雾：警惕高危Apache Log4j2远程代码执行漏洞:据慢雾安全情报，在12月9日晚间出现了Apache Log4j2 远程代码执行漏洞攻击代码。该漏洞利用无需特殊配置，经多方验证，Apache Struts2、Apache Solr、Apache Druid、Apache Flink等均受影响。Apache Log4j2是一款流行的Java日志框架，建议广大交易所、钱包、DeFi项目方抓紧自查是否受漏洞影响，并尽快升级新版本。[2021/12/10 7:30:00]

以下为采访实录。

金色财经：慢雾审计一个项目主要有哪些流程？系统是否安全的最终标准有哪些？?

慢雾：跨链互操作协议Poly Network遭受攻击并非由于网传的keeper私钥泄漏:对于跨链互操作协议Poly Network遭受攻击事件，慢雾安全团队分析指出：本次攻击主要在于EthCrossChainData合约的keeper可由EthCrossChainManager合约进行修改，而EthCrossChainManager合约的verifyHeaderAndExecuteTx函数又可以通过_executeCrossChainTx函数执行用户传入的数据。因此攻击者通过此函数传入精心构造的数据修改了EthCrossChainData合约的keeper为攻击者指定的地址，并非网传的是由于keeper私钥泄漏导致这一事件的发生。[2021/8/11 1:47:48]

慢雾科技合伙人启富：对于DeFi，我们更关心的是资产的安全，简单来说就是本金的安全。用户的收益如何与项目的经济模型有关，所以，我们首先关注的是智能合约里在计算用户收益时，会不会存在溢出等问题，这也是合约里普遍存在的通用性问题。其次，我们会关注项目方是否留有后门，是不是作恶，是否盗取用户资金。

慢雾：攻击者系通过“supply()”函数重入Lendf.Me合约 实现重入攻击:慢雾安全团队发文跟进“DeFi平台Lendf.Me被黑”一事的具体原因及防御建议。文章分析称，通过将交易放在bloxy.info上查看完整交易流程，可发现攻击者对Lendf.Me进行了两次“supply()”函数的调用，但是这两次调用都是独立的，并不是在前一笔“supply()”函数中再次调用“supply()”函数。紧接着，在第二次“supply()”函数的调用过程中，攻击者在他自己的合约中对Lendf.Me的“withdraw()”函数发起调用，最终提现。慢雾安全团队表示，不难分析出，攻击者的“withdraw()”调用是发生在transferFrom函数中，也就是在Lendf.Me通过transferFrom调用用户的“tokensToSend()”钩子函数的时候调用的。很明显，攻击者通过“supply()”函数重入了Lendf.Me合约，造成了重入攻击。[2020/4/19]

当收到用户项目审计诉求时，我们会先通过项目官网、介绍等资料了解项目，在初步审核通过之后，会去评估其智能合约代码的复杂度，并进入到商务流程，报价、排期等沟通没问题之后，开始项目审计。

审计的过程当中发现了任何的问题，都会马上去告诉对方并告知解决方案，改完之后、复查，最后会出具一个审计报告。同时我们现在要求对方一定把代码开源。在审计中除了关注常规的安全漏洞，还要关注代码和业务逻辑设计是否一致，以及组合性引入的外部风险，找出薄弱点提高攻击者的门槛从而整体提升安全性。?

基于对慢雾的认可，大家觉得慢雾审计过的项目会比较放心，所以我们现在都是尽可能的把有可能存在风险的，包括一些admin权限等，现在流行用时间锁的方式，想要有进一步动作，必须要经过24小时或者48小时。上链之后，大家都能够去看到。这方面现在大家都关注，我们也特别关注。

金色财经：现在有相关数据统计，8月份有大概8起DeFi相关的安全事件。从安全的角度，您怎么看DeFi的发展？

慢雾科技合伙人启富： DeFi相对于公链是一个比较新的东西，在发展的过程当中，肯定会有一些风险和未知的事情，毕竟面对一个新兴事物，大家都不是那么有经验。从DeFi安全性角度来说，新事物在发展的过程当中，出现这样的安全问题，算是可以理解的事情。

像比特币、以太坊它早期也有发生过安全问题，比特币之前也曾有增发漏洞，以太坊也有著名的The DAO事件，还分叉出了ETC。

所有人并不是一开始就有丰富的经验，包括那些试图攻击它的人，也不是很快就能知道攻击方法，也是做了一些自己的研究、尝试。所以在早期时候，去关注、参与一定会有风险，但是我们不能因为它发生过这些问题，去否定一个新的方向。整个行业或者DeFi方向肯定会越来越完善，包括安全公司或者优质的项目方，优质的技术团队参与到其中，就能够把整体水平提升上来。?

另外一个就是说大家对安全问题的一个规避的方式，就是项目方一定要有自己的安全的意识，尽可能有一些预算找安全公司，例如我们慢雾，去做一些相应的安全审计，至少现在已经知道的一些攻击的手法都给它规避掉。

金色财经：您接下来会看好哪一些项目？?

慢雾科技合伙人启富：现阶段挖矿的应该不会太长久，这种玩法大家可能都已经比较熟悉了，币圈其实很多时候都讲究一个新鲜感或者画饼的能力，如果接下来没有更多新的玩法，大家都还是继续去搞这样的流动性挖矿，可能到后期就没什么人玩了。从以太坊到波场到币安智能链，或者到其他的一些新的公链如本体、NEO，这些国产公链都开始加入到这个赛道，但是大部分玩法还是一样的。资金就这么多，现在出来这么多项目，就会有均分或者转移，最后如果没有一些新的玩法，大家就会审美疲劳，而且年化有可能越来越低。

现在很多人都在聊另外一个热点NFT，大家关注到NFT，就是因为现在它能交易。在我看来，这是一个方向，真正的落地还要有一定的距离。

在这个行业，热点有时候并不是技术驱动的，很多时候是因为能赚钱而带来的。

标签：DEFIDEFEFIWBTMarhabaDeFiDeFi Coindefibox币有价值吗一直跌wbtc币怎么挖

火必下载热门资讯