DEFI:CertiK：還原Yearn.Finance被攻擊始末_DEF

2月5日消息，據DeBank數據顯示，DeFi真實鎖倉量突破470億美元，創下歷史新高，本文撰寫時為478.3億美元，約等于3095億人民幣。

2020年被稱為“DeFi元年”，DeFi在Compound首創的“流動性挖礦”推動下獲得了歷史性的大爆發，然而其安全風險居高不下。北京時間2月5日凌晨，CertiK安全技術團隊發現DeFi項目Yearn.Finance發生攻擊事件，攻擊總損失高達約7100萬人民幣，黑客從中獲利約1800萬人民幣。黑客通過閃電貸獲得攻擊啟動資金，利用Yearn項目代碼漏洞，完成整個攻擊。

STEPN旗下NFT市場MOOAR宣布推出Launchpad:11月2日消息，STEPN旗下NFT市場MOOAR宣布推出用于NFT項目的MOOAR Launchpad。[2022/11/3 12:11:27]

攻擊者獲利數目截圖

Web3通信協議Push Protocol將推出錢包至錢包通信服務Push Chat:10月11日消息，據官方推特，Web3通信協議Push Protocol（原EPNS）將推出錢包至錢包通信服務Push Chat，可為用戶提供Web3原生安全、錢包至錢包的消息傳遞，允許任何擁有錢包或ENS的人直接與他人聊天，目前支持文本、圖片形式。Push Chat Alpha版本將于今日向在ETHBogota使用Push的開發者開放（可申請POAP以獲得alpha訪問權限）。[2022/10/11 10:30:46]

此次攻擊總計包括11筆利用漏洞獲利交易以及3筆轉換代幣交易，交易列表如下：

Algorand基金會宣布其5000萬美元區塊鏈研究和教育項目的獲獎者:金色財經報道，Algorand基金會今天宣布其Algorand卓越中心（ACE）計劃的10名獲獎者，五年內的獎勵總額為5000萬美元。該計劃收到了77份提案，有來自46個國家的550多名參與者；獲獎者由來自不同學科的27名專家組成的國際小組選出。

這些贈款將資助世界各地大學校園的研究和教育中心為期多年，以實現：

區塊鏈和加密貨幣領域的多學科研究；

大學課程、黑客馬拉松、加速器以及學生領導的組織和活動；

開發真實世界的解決方案、應用程序和用例；

基于區塊鏈技術的社會影響和可持續性項目等。（prnewswire）[2022/8/4 12:02:50]

除開3筆轉換代幣交易之外，剩余11筆獲利交易均針對同一個漏洞，使用相同的攻擊方式完成的獲利。攻擊大致流程圖如下：

具體步驟如下：

利用閃電貸籌措攻擊所需初始資金。利用Yearn.Finance合約中漏洞，反復將DAI與?USDT?從3crv中存入和取出操作，目的是獲得更多的3Crv代幣。這些代幣在隨后的3筆轉換代幣交易中轉換為了USDT與DAI穩定幣。完成5次重復的DAI與USDT從3crv中存取操作后，償還閃電貸。CertiK安全技術團隊當前正在審查Yearn.Finance中存在的漏洞，更多漏洞細節將在后續分析中進行詳解。總結

加密世界的交互往往都伴隨著一定的風險，而投資于安全的項目會收到更加長遠的回報。

而高收益必定伴隨著高風險，此次漏洞的爆發同樣是DeFi領域的一個警示。

Tags：PUSHUSHDEFIDEFPUSH幣nusharesdefi幣如何挖礦AurusDeFi

Uniswap