DEFI:DeFi安全審計的盲區，一文了解Curve的最新安全漏洞_Verify DeFi

截至發稿時，這份報告已獲得了Curve官方的認可，而作者也因此獲得了漏洞獎勵，目前Curve正為舊的合約池部署解決方案，而新的合約池不受此漏洞的影響。

以下是漏洞報告內容：在9月19日凌晨的幾個小時，我發現了一個針對Curve合約的漏洞，當合約的放大系數A更新時，攻擊者可提取大量代幣余額。而使用了Curve合約的Swerve，其一度更新了它的A系數，因此用戶的潛在損失是巨大的，占到了合約余額的36.9%，假設進行一次優化后的攻擊，那么大約會損失9200萬美元。幸運的是，Swerve更新順利通過，沒有發生意外情況。那天下午晚些時候，我通知了Curve團隊。幾個小時后，他們確認了漏洞的存在，我們開始一起研究解決方案。實際上，這種攻擊在A向上和向下調整時都可能發生。但是，由于向下調整的潛在損失要大一個數量級，因此我們將重點討論這類攻擊。這些攻擊的嚴重程度與A的變化幅度成正比。事實證明，代幣余額份額的最大損失受如下等式的限制，其中A_old是初始參數值，A_new是更新的參數值，而n是合約中代幣類型的數量。

Messari：DeFi應用開始將應用堆棧整合為一個綜合服務:金色財經報道，Messari在社交媒體上稱，DeFi應用開始將應用堆棧整合為一個綜合服務，對于非穩定幣協議，這意味著推出他們自己的穩定幣。此舉可以幫助DeFi協議獲得流動性，降低資本效率成本，并吸引新用戶。[2022/10/17 17:28:12]

利用漏洞造成的損失，取決于參數A的百分比變化例如，yCurve合約的更新，發生在同一周的早些時候。該合約有n=4個代幣類型，更新從A_old=2000更改為A_new=1000。使用方程1中的公式，攻擊者可利用該漏洞提取高達12.9%的yCurve合約余額。這種攻擊只可能在預定的參數A更新過程中進行。Curve合約在正常操作下不易受到攻擊，因此，沒有必要采取緊急行動來保護用戶資金。但是，在發生其它關于A的更改之前修補此漏洞是至關重要的。Curve團隊正在對更新A的程序進行改進，這些改進應允許Curve合約以安全的方式繼續更新參數A。平均數和代幣聯合曲線

為了理解攻擊，我們有必要了解下代幣聯合曲線。我將解釋一些概念，以便讀者能夠形成一個概念性的理解。我對這一主題采用了一種稍有不同的方法，重點是代幣聯合曲線與一組變量平均值之間的關系。在數學中，平均數是表示一組數據集中趨勢的量數。因此，如果x_1是n個數集合中最小的數，x_n是最大的數，則這個集合的平均數將呈現為介于x_1和x_n之間的中間值。兩種最常見的平均數類型是算術平均數和幾何平均數。

數據：當前DeFi協議總鎖倉量為1942.9億美元:2月20日消息，據Defi Llama數據顯示，目前DeFi協議總鎖倉量1942.9億美元，24小時減少2.24%。鎖倉資產排名前五分別為Curve（189.7億美元）、MakerDAO（159.6億美元）、Convex Finance（130.7億美元）、AAVE（120.6億美元）、WBTC（102.2億美元）。[2022/2/21 10:04:41]

算術平均數

幾何平均數平均數在代幣聯合曲線中起到了關鍵作用。AMM合約允許用戶交易任何組合的代幣，這樣AMM合約代幣余額的平均值在交易發生前后保持不變。在不同的AMM設計中，會使用不同類型的平均數方法。對于Uniswap，它使用的是未加權的幾何平均數，對于Balancer，它使用的是加權幾何平均數，對于mStable，它使用的則是未加權的算術平均數。而Curve使用的是算術平均數和幾何平均數的加權平均數，我稱之為Curve平均數。Curve平均數的權重由所謂的放大參數A決定。隨著A向無窮大方向增加，Curve的平均數收斂到mStable使用的算術平均數。相反，如果A設置為0，Curve的平均數將與Balancer和Uniswap使用的幾何平均數相同。對于A的中間值，Curve的代幣聯合曲線將位于這兩個極端的中間。

數據：Solana上DeFi協議總鎖倉量為83.5億美元:金色財經報道，DeFiLlama數據顯示，Solana上DeFi協議總鎖倉量為83.5億美元.其中，鎖倉量排名前三的協議分別是Serum（8.37億美元）、Raydium（8.06億美元）、MarinadeFinance（7.94億美元）。[2022/2/6 9:33:24]

圖1:代幣聯合曲線圖1顯示了四種代幣聯合曲線。Uniswap保持幾何平均常數，這產生了一個非常陡峭的曲率。mStable則是算術平均值常量，它是一條直線，而Curve則位于兩者之間。在參數值A=1時，Curve類似于Uniswap，在A=10時，Curve更接近于mStable。平均數和AMM合約持有的價值

參考圖1，我們可以看到，所有四條曲線在距離圖形原點45度線的一個點相交。我們可以利用這個交點到原點的距離，來快速測量AMM合約代幣投資組合的價值。例如，如果這個交叉點到原點的距離增加了20%，那么，假設沒有無常損失，AMM合約持有的價值也將增加20%。這適用于我們所有的四種聯合曲線類型。當我們考慮Curve時，這一特性尤其有用，因為Curve具有一個獨特的特性：當A更新時，其聯合曲線的形狀會發生變化。對于Curve，我們可以使用距離原點的距離來衡量參數更新前后合約投資組合的價值。顯然，如果在更新A之后這個距離明顯減少，這將是一個嚴重的問題。關于參數A的盈虧平衡更新

Bequant與Global Digital Finance合作成立工作組 以為DeFi創建最佳實踐:加密經紀商Bequant與Global Digital Finance合作創建工作組，以期為DeFi創建一些最佳實踐，努力提高其采用，同時避免繁瑣的監管。根據一份新聞稿，兩家公司上個月宣布，他們將與Hogan Lovells律師事務所組建一個行業組織，旨在將行業參與者聚集在一起，“為全球的DeFi項目帶來信譽和誠信”。

Bequant的研究主管和工作組主席之一Denis Vinokourov稱，該小組根植于多年來加密行業的廣泛發展。創建一些最佳實踐可能有助于確保監管者不必通過清除惡意參與者或減少錯誤代碼的數量來對該領域施加過于嚴格的規則。（CoinDesk）[2020/12/7 14:27:44]

再次參考圖1，假設Curve合約的代幣余額正好位于45度線的交點處。當所有Curve代幣以一比一的價格比率交易時，就會出現這種情況。從這個起點更新A時，就沒有貨幣損失的風險。例如，假設Curve從這一點開始將參數設置A_old=10改為A_new=1。此更新不會更改聯合曲線到原點的距離。因此，參數變化將是完全無害的，不會使Curve流動性提供者面臨財務損失的風險。直覺上，如果初始余額不完全在交叉點，但接近于這個交點，則損失的風險仍然很小。關于參數A的虧損更新

RenrenBit計劃于7月中旬引入DeFi市場化利率模型:RenrenBit計劃于7月中旬上線“借貸市場化治理模型”，目前該提案正在最后階段測試中。RenrenBit將在推行100%準備金公開透明基礎上，引入DeFi中成熟的市場化利率模型，同時兼以CeFi成熟的資金安全風控體系，規避DeFi面臨的安全性風險。[2020/7/1]

現在讓我們看看圖2。該圖說明了當更新A時，攻擊者如何可能操縱初始條件以實現巨大的利潤。為了便于說明，我展示了從A_old=10到A_new=1的變化，而不是Swerve從A_old=1000到A_new=100的更新。然而，事實證明，漏洞的嚴重程度只取決于新舊比率，因此該數字準確地描述了Swerve的情況。另外，圖中所示的攻擊只捕獲了合約代幣庫存的15%。而一個完全優化的攻擊將交易更極端的金額，從而可捕獲多達36.9%的代幣庫存。

圖2：在惡意交易之間增加一個變化假設Curve合約余額最初位于45度線的交點處，且初始參數值為A_old=10。現在假設一個攻擊者在兩筆惡意交易之間夾了一個參數更新。在第一次惡意交易中，攻擊者出售大量代幣，以導致庫存失衡。接下來，攻擊者將觸發一個更新，更新的值為10和1。如圖所示，這會改變曲線的形狀。最后，攻擊者以更低的價格買回他出售的代幣。此操作將使合約沿45度線返回到完全平衡的狀態。如圖所示，此次攻擊將導致AMM代幣庫存的15%丟失。利用漏洞的可行性

那這樣的攻擊真的有可能嗎？令人驚訝的是，答案是yes。Curve合約要求提前幾天安排A的變更，并通過去中心化的鏈上治理流程達成共識。但是，一旦通過治理批準了A中的更改，并且超過了激活截止日期，合約允許任何調用方觸發更新。因此，攻擊者可自由地從Uniswap快速租借大量穩定幣，將其出售給Curve以觸發極端不平衡，觸發對A的更新，然后從Curve購買穩定幣以獲得巨大的利潤。而完全優化的攻擊會涉及到更多，這里就不再深入細節。而我上面所描述的簡單攻擊，就足以捕獲大部分潛在利潤。修復關于A更改的智能合約邏輯

目前，Curve合約有兩個生產版本。對于未修補的舊版合約，上面提到的內容就是漏洞的原理。而對于較新的合約，仍然存在一個潛在的漏洞，盡管其嚴重性要小的多。我將首先描述舊合約的建議更改。修復舊Curve合約

在舊的Curve合約中，A的變化發生在一個大的離散步驟中。此外，合約邏輯允許攻擊者在單筆交易中以不同的A值執行交易。特別是，攻擊者可以利用其初始交易來迫使庫存極度失衡，然后觸發A的變化，然后以更新后的A值執行更多交易。這使攻擊者可執行涉及數以億計資金量交易的整個攻擊，而不會涉及到風險。為了解決這個問題，我建議更新舊的合約，以便只有受信任的多重簽名帳戶才能激活對A的更新。此外，激活A應需要檢查代幣余額，以確認代幣余額從廣播參數更新交易的時間點起沒有發生顯著變化。這種余額檢查可防止流氓礦工的攻擊。特別是，一個流氓礦工可重新排序交易，這樣他在更新A之前執行一筆大交易，然后在A更新后執行另一筆大交易。余額檢查可防止在合約處于意外不平衡狀態時激活對A的更改，這足以保護CurveLP免受此類攻擊。修復新的Curve合約

在較新的Curve合約中，A的變化是在每次交易開始前以一系列離散的小步驟逐漸發生的。我的理解是每一區塊只能調整一步。此外，合約要求在執行任何交易之前進行預定的步驟調整。這足以抵御普通攻擊者，但不一定能抵御流氓礦工。特別是，一個流氓礦工可以連續鑄造兩個區塊，并在兩個區塊中插入惡意交易。這將允許礦工在第一個區塊中以較高的A值進行初始交易，并在第二個區塊中以較低的A值進行最終交易。更糟糕的是，流氓礦工有一個擴展的窗口來嘗試這些攻擊。只要A還在更新過程中，流氓礦工就可以繼續嘗試挖取兩個區塊序列。為了保護這些較新的合約，我建議將A中的步驟長度減小到每個區塊不超過0.1%。為什么小的的步驟長度有幫助？這涉及到一個我還沒有介紹的因素——Curve合約會收取一筆費用，由于這筆費用，任何交易都會導致代幣聯合曲線稍微偏離原點。這也適用于攻擊者的巨額交易，這使得攻擊的利潤略有下降。如果A的變化足夠小，則完全優化的攻擊所獲得的收益，將被攻擊者支付給合約的費用所抵消。因此，攻擊者再也不可能通過在兩筆交易之間夾雜一個變化來獲利。關于安全審計和智能合約設計的經驗教訓

關于這種攻擊，它要求設計者深入理解代幣聯合曲線，對于智能合約審計者來說，發現利用高度專業化知識的漏洞可能并不現實。實際上，Curve合約已經過了多次安全審計，在我寫這篇文章時，Swerve合約剛剛通過了另一次審計。在我看來，一個通用的，可通過強力探測而不是理論檢測的漏洞審計程序，將是非常有用的。為了檢測這類漏洞，我建議代幣聯合曲線審計納入任意兩步交易程序的模擬。在這些過程中，審計人員將針對合約運行一筆隨機交易，觸發一個智能合約操作，然后運行另一筆隨機交易。在此，智能合約操作將激活對A的更新。對于此漏洞，此模糊測試過程將揭示合約遭受災難性損失的場景。然后，審計人員可以進一步調查，以了解根本原因。對于智能合約設計師來說，了解審計的局限性是有幫助的。當合約允許一次執行一系列復雜的交互時，全面的模糊測試就變得不可行了。問題在于，用戶交互的可能組合太多，我們無法探究每一種可能性。因此，限制用戶在短時間內可采取操作的數量和種類是很有幫助的。這里的想法是避免創建一個非常復雜的智能合約，以至于無法通過暴力手段進行審計。感謝Curve團隊為我的漏洞報告工作支付了一筆非常慷慨的漏洞獎金，另外，特別要提下我在0x的好友GregHysen，是他挖掘了Curve的代碼，幫助我理解更新A的智能合約邏輯。

Tags：CURCurveEFIDEFICCURVE幣PAXCURVEVerify DeFiDeFiDrop

幣安app下載