買以太坊 買以太坊
Ctrl+D 買以太坊
ads
首頁 > ICP > Info

ANC:黑客攻同源漏洞 「團滅」Fork協議_99DEFI幣

Author:

Time:1900/1/1 0:00:00

2021年5月,加密資產市場頗為動蕩,BTC從5萬美元上方最低跌至29000美元,幾近腰斬,大多數加密資產最大跌幅超過50%。

二級市場巨震之下,鏈上生態也不太平。5月份,DeFi市場發生至少13起黑客攻擊事件,多集中在幣安智能鏈(BSC)上,折損資金達到2.7億美元,超過了2020年所有DeFi安全事件的資產損失。BSC官方認為,一個有組織的黑客團隊盯上了BSC。

為何BSC鏈上項目集中失竊?黑客又如何做到快速捕捉項目漏洞?區塊鏈安全公司PeckShield發現,很多被攻擊的項目都存在同源漏洞。

比如,在BSC收益聚合器PancakeBunny被攻擊后,Fork(分叉)自PancakeBunny的AutoShark和Merlin Labs在接下來的一周內接連失竊;而被攻擊的BurgerSwap和JulSwap,代碼都是Fork自Uniswap,但它們似乎在進行改動時產生了漏洞。

PeckShield相關安全負責人告訴蜂巢財經,這些Fork出的協議被攻擊主要是在沒有完全理解原協議背后的邏輯下,進行微創新,導致一個小的更新或小的組合就可能產生漏洞。

Acala:黑客攻擊系iBTC/aUSD池配置錯誤,相關被盜資產已被禁止轉移:8月14日消息,Acala發推表示,此前的黑客攻擊系iBTC/aUSD流動性池的配置錯誤,導致大量aUSD的錯誤開采。該配置錯誤已被糾正,收到錯誤鑄造的aUSD的錢包地址已被確定,Acala正在對這些地址進行鏈上活動追蹤。

據初步的鏈上追蹤顯示,99%以上錯誤鑄造的aUSD仍在Acala平行鏈上,被兌換為ACA或其他Token。在Acala社區集體治理決定如何解決錯誤鑄幣之前,留在Acala平行鏈上的這些錯誤鑄造的aUSD及其兌換Token將被禁止轉移。[2022/8/14 12:24:51]

屢次發生的安全事件再度給協議開發者提了個醒,在進行DeFi的模式創新時,不應忽視底層代碼的安全性。

屋漏偏逢連夜雨。在加密資產市場跌勢不止時,鏈上協議的安全事故頻發。

5月30日,BSC上的穩定幣兌換協議Belt Finance遭遇閃電貸攻擊,損失620萬美元。根據區塊鏈安全公司PeckShield的追蹤,此次攻擊源于攻擊者在PancakaSwap完成8筆閃電貸后,通過重復買入賣出BUSD,利用bEllipsisBUSD策略余額計算中的漏洞操縱beltBUSD的價格進行獲利。

Ola Finance:黑客攻擊造成約467萬美元的損失:4月1日消息,Ola Finance今日對昨日黑客攻擊事件發布博客文章,稱此次攻擊事件損失約為467萬美元,具體包括216,964.18 USDC、507,216.68 BUSD、200,000 fUSD、550.45 WETH、26.25 WBTC和1,240,000.00 FUSE。

Ola Finance暫停了所有借貸網絡上的借貸,直到漏洞修復,并建議暫時不要償還貸款。Ola Finance稱將在幾天內宣布受害者賠償計劃。[2022/4/1 14:31:20]

被攻擊后,Belt Finance就閃電貸攻擊事件發推致歉并發表報告,其表示將進行進一步審計,并將在48小時內發布用戶補償計劃。

受此影響,Belt Finance治理代幣BELT大幅下跌,從28日的58美元高點跌至27美元,短期跌幅達到53.44%。

這已是5月份第12個被攻擊的BSC鏈上項目。蜂巢財經統計,自5月2日以來,Spartan Protocol、Value DeFi、BearnFi、Venus、PancakeBunny等項目接連失竊,共計損失2.7億美元資金,Value DeFi更是兩次遭攻擊。

Dego Finance發布公告稱被黑客攻擊,DEX上DEGO流動性耗盡:2 月 10 日,Dego Finance 發布公告稱被黑客攻擊,現 UniSwap 和 PancakeSwap 上的 DEGO 流動性已被耗盡。團隊目前已緊急聯系 Binance 等 CEX 運營團隊關閉 DEGO 存款,以阻止黑客拋售,造成進一步損失。團隊稱正在與知名安全團隊討論追蹤黑客,并挽回損失。[2022/2/10 9:42:35]

BSC被攻擊項目一覽

2.7億美元的資產損失已經超過了2020年所有DeFi安全事件的損失。根據此前PeckShield發布的數據,2020年DeFi安全事件達到60起,損失逾2.5億美元。

短短一個月時間,BSC鏈上連續不斷遭到黑客光顧,顯得頗為蹊蹺。壓力之下,BSC官方不久前在社交平臺發文稱,最近已經接連發生超過8起針對BSC鏈上項目的閃電貸攻擊,「我們認為現在有一個有組織的黑客團隊盯上了BSC。」

動態 | EOS競猜類游戲LuckyClover和UnicornBet遭黑客攻擊 已緊急關停:今日凌晨,PeckShield安全盾風控平臺DAppShield監測到多名黑客向EOS競猜類游戲LuckyClover和UnicornBet發起連續攻擊,獲利數千個EOS。在監控到多個游戲被攻擊后,PeckShield第一時間聯系項目方實施應急響應風控機制,避免了開發者遭受更大的數字資產損失。PeckShield安全人員分析發現,黑客分別采用的是hard_fail和假EOS攻擊手段。PeckShield安全人員在此提醒,開發者務必合約上線前做好安全測試,特別是要排除已知攻擊手段的威脅,必要時可尋求第三方安全公司協助,幫助其完成合約上線前攻擊測試及基礎安全防御部署。[2019/8/2]

BSC官方呼吁所有DApp防范風險,建議鏈上項目與審計公司合作進行健康檢查,如果是分叉項目,需反復檢查相對原始版本進行的更改;采取必要的風險控制措施,實時主動監控異常情況,一旦出現異常及時暫停協議;制定應急計劃,以防出現最壞的情況;如果條件允許可設定漏洞賞金計劃。

動態 | 此前遭黑客攻擊的EOSBet重新上線:14日,基于EOS的游戲EOSBet遭受黑客攻擊,損失44427.4302個EOS。經過修復后,EOSBet現已重新上線。EOSBet的合約遭受攻擊是由于EOSBet團隊編寫出有漏洞的代碼,而不是因為EOS主網本身的漏洞。[2018/9/16]

的確,復盤12起安全事件,閃電貸攻擊是黑客最常用的手段。Spartan Protocol、PancakeBunny、Bogged Finance、BurgerSwap、JulSwap等項目都是閃電貸攻擊的受害者。

需要明確的是,閃電貸本身并非是一種攻擊手段,它只是一種高效的借貸模式,能夠放大任何人的本金。正如Chainlink CMO Adelyn Zhou所言,「閃電貸不會在DeFi內部產生漏洞——它只是揭示了已經存在的漏洞。」

在DeFi經過了高速發展后,BSC上仍有如此多項目在短時間內暴露出漏洞,令鏈上用戶感到心驚。不禁要問,為什么這些安全事件集中爆發在BSC鏈上?又為何黑客能夠快速找到這么多項目的漏洞并實施攻擊?

今年以來,BSC異軍突起,作為以太坊的側鏈,它憑借更高效的交易處理效率和低廉的手續費,吸引了大量的項目和鏈上玩家入駐,巔峰時期,其鏈上總鎖倉價值超過344億美元,是僅次于以太坊的第二大DeFi集結地。

BSC生態的快速崛起,搶占鏈上先發紅利,大量項目扎堆部署。由于此前,以太坊上大多項目已經開源,不少開發者采用了Uniswap、Curve等成熟項目的開源代碼,經過簡單修改后便在BSC上快速上架。而這種匆忙地Fork(分叉)成了BSC鏈上項目成批量被黑客攻擊的隱患。

據PeckShield披露,近期被攻擊的BurgerSwap和JulSwap,代碼都是Fork自Uniswap。PeckShield指出,「但它們似乎并沒有完全理解Uniswap背后的邏輯。」

根據事發后BurgerSwap的報告,攻擊者自發「假幣」,隨后與協議的原生代幣BURGER形成交易對,改變了后者的價格。很顯然,分叉自Uniswap的BurgerSwap在某些方面不夠成熟,被黑客鉆了空子。

Fork協議的來源不僅是以太坊,BSC鏈上一些早期協議應用也被后來者Fork上鏈。AutoShark和Merlin Labs兩個聚合器協議,皆因Fork了PancakeBunny被黑客洗劫。從時間線來看,5月20日,PancakeBunny遭到閃電貸攻擊,此次攻擊源于攻擊者利用該協議操縱了LP Token BNB-BUNNY和BNB-BUSDT的價格。

看到PancakeBunny被攻擊后,AutoShark發文強調自己的安全性,表示其做了4次代碼審計,其中2次正在進行中。但打臉接踵而至,僅僅4天后,AutoShark遭遇閃電貸攻擊,其代幣SHARK瞬間下跌99%。根據PeckShield的分析,此次攻擊手法與PancakeBunny被攻擊的手段相似。

被打臉的還有Merlin Labs,在被攻擊前,它也曾發文表示已經反復執行代碼的審核,為潛在的可能性采取了額外的預防措施。但5月26日,黑客就「乘勝追擊」,洗劫了Merlin Labs。

PeckShield認為,這是攻擊PancakeBunny后的模仿案,攻擊者都不需要太高技術和資金的門檻,只要耐心地將同源漏洞在Fork出的協議上重復試驗,就能撈上可觀的一筆。「Fork 的 DeFi 協議可能尚未成為 Bunny 挑戰者,就因同源漏洞損失慘重,被嘲笑為『頑固的韭菜地』 。」

此外,在Belt Finance被攻擊的案例中,黑客利用了bEllipsisBUSD策略余額計算中的漏洞,操縱了beltBUSD的價格,而Ellipsis則Fork自以太坊知名協議Curve。

PeckShield相關安全負責人告訴蜂巢財經,這些Fork的協議被攻擊主要是在沒有完全理解原協議背后的邏輯,進行微創新,導致一個小的更新或小的組合就可能產生漏洞。

該負責人表示,從已知的漏洞下手是攻擊者對尚處發展階段的DeFi領域常用的「覓食」方法。對于項目方來說,對DeFi 協議安全的重視,不是嘴上說說而已,而是要做到「吾日三省代碼」:協議上線前有沒有做靜態審計?其他協議遭到攻擊后,有沒有自查代碼,檢查是否出現類似漏洞?交互的協議有沒有安全風險?

從上述案例來看,BSC鏈上一批項目集中失竊,主要是黑客找到了多個協議的同源漏洞,只需模仿攻擊手段,就能「舉一反三」,在短時間內完成對多個項目的剽竊。

屢次發生的安全事件也給協議開發者提了個醒,在進行DeFi的模式創新時,不應忽視底層代碼的安全性。

對此,PeckShield建議,新合約上線前要進行審計,也需要注意排查與其他DeFi產品進行組合時的業務邏輯漏洞。同時要設計?定的風控熔斷機制,引?第三?安全公司的威脅感知情報和數據態勢情報服務,完善防御系統。「所有DeFi協議都存在變數,即使?個協議進行了多次審計,?個小的更新也會使審計變得無用,因此即使?個小的更新都要重新進行審計。」

Tags:ANCBSCDEFDEFILongdrink FinanceBSCGOLD價格Pyrrho DeFi99DEFI幣

ICP
區塊鏈:金色趨勢丨市場否極泰來時點正在臨近?_HISWAP

看下BTC長期歷史走勢比較關鍵的兩條均線MA50和MA200,自從前期見頂64850美金一路回落至最低30000美金附近再止跌回升,已經帶動MA50均線向下拐頭,逐步向下貼近MA200均線.

1900/1/1 0:00:00
NFT:為什么以太坊Gas費又創“新低”?鏈上數據來告訴你_Togashi Inu

本期摘要:以太坊Gas費創2021年新低,是時候把所有的DeFi應用都體驗一把了?對于以太坊用戶而言,高昂的Gas費一直是普通用戶進入這個賽道的門檻之一.

1900/1/1 0:00:00
SEC:決定和影響比特幣價格的因素是什么?_加密貨幣

自從上周比特幣從歷史高位價格“腰斬”后,本周開始比特幣又出人意料地走出了兩位數百分比的上漲行情,自比特幣問世以來,行情的大幅波動,向來是這個最大加密貨幣資產的“金字招牌”.

1900/1/1 0:00:00
比特幣:比特幣創下最大單月跌幅 你害怕了嗎?_比特幣市值怎么算的

最近,比特幣從高點發生巨大的回撤,創下了10年來的最大單月跌幅(-37.9%),大多數市場參與者對加密貨幣市場未來的走勢感到十分焦慮和恐慌.

1900/1/1 0:00:00
XRP:各大平臺齊布局 NFT要起飛了嗎?_比特幣價格實時行情美元

最近市場經歷了一次十分兇殘的生死大考,在前段時間本就大幅度回調的基礎上再次腰斬,使得大部分幣種的價格幾乎回到了1月份牛市剛開始的位置.

1900/1/1 0:00:00
EFI:金色DeFi日報 | Uniswap創始人:將考慮在v3用戶體驗中添加“最大范圍”快捷方式_DeFinomics

DeFi數據 1.DeFi總市值:872.40億美元 市值前十幣種排名數據來源DeFiboxDeFi總市值數據來源:Coingecko2.過去24小時去中心化交易所的交易量:42.

1900/1/1 0:00:00
ads