DEI:操縱預言機就能空手套白狼？DEUS Finance DAO被盜1570萬美元攻擊事件分析_SDC

北京時間2022年4月28日10:40:14，CertiK審計團隊監測到DEUSFinance的合約被惡意攻擊，造成了約1570萬美元的損失。

攻擊者惡意操縱DEI的價格，從DeiLenderSolidex合約中通過提供少量的抵押品提取了大量的DEI。

攻擊步驟

①攻擊者部署攻擊合約并向借貸池DeiLenderSolidex合約提供抵押。

Digitex創始人被指控操縱原生代幣DGTX被判支付1600萬美元解決訴訟:金色財經報道，美國商品期貨交易委員會（CFTC）在周三的一份聲明中表示，聯邦法院已下令加密貨幣交易所Digitex的創始人Adam Todd支付近1600萬美元，以解決他經營非法平臺并試圖操縱其原生代幣DGTX的指控。Todd在經營位于佛羅里達州的Digitex Futures交易所時違反了多項商品法，法官下令禁止他進行交易。Todd將面臨1200萬美元的罰款和約400萬美元的罰金，但目前尚不清楚Todd或公司是否有能力償還客戶。[2023/7/13 10:51:25]

②隨后攻擊者利用攻擊合約獲得了超過143,200,000USDC用以發起攻擊。

CFTC主席：需要根除加密貨幣中的欺詐和操縱行為:金色財經報道，CFTC主席Rostin?Behnam表示，需要根除加密貨幣中的欺詐和操縱行為。[2023/3/31 13:36:34]

③攻擊合約將這143,200,000個借得的USDC在USDC/DEI交易對池0x5821573中換為9,547,716個DEI，此舉導致DEI的價格被大幅提高。

互金協會提示境外ICO與“虛擬貨幣”交易風險：存市場操縱、洗錢等隱患:今天，中國互聯網金融協會微信公眾號發文：中國互聯網金融協會鄭重呼吁廣大投資者認清境外ICO與“虛擬貨幣”交易平臺的風險，牢固樹立風險防范意識。中國互聯網金融協會會員應恪守行業自律承諾，主動抵制違法違規金融活動，不參與或組織參與任何涉及ICO和“虛擬貨幣”交易的活動。2017年9月4日，中國人民銀行等七部委聯合發布《關于防范代幣發行融資風險的公告》明確指出，自公告發布之日起，各類代幣發行融資活動應當立即停止；各金融機構和非銀行支付機構不得開展與代幣發行融資交易相關的業務；對于存在違法違規問題的代幣融資交易平臺，金融管理部門將提請電信主管部門依法關閉其網站平臺及移動APP，提請網信部門對移動APP在應用商店做下架處置，并提請工商管理部門依法吊銷其營業執照。目前，有關管理部門對境內ICO行為及“虛擬貨幣”交易場所的清理整治工作已基本完成，期間有部分投資者轉向境外開展相關活動。根據國家相關管理政策，境內投資者的網絡訪問渠道、支付渠道等可能會受到影響，投資者將蒙受損失。[2018/1/26]

④由于DeiLenderSolidex合約是用預言機來確定用戶抵押品的價值，而預言機合約使用被惡意操縱的交易對池的價格作為價格來源。因此通過提高的價格和之前提供的抵押，攻擊者可從借貸池中總計借貸到17,246,885DEI，這一數額遠大于之前攻擊者提供抵押的金額。

⑤攻擊者用9,547,716個DEI交換到的143,184,725USDC來償還閃電貸款，最終獲取差價離場。

通過閃電貸，攻擊者能夠操縱交易對的狀態，并進一步操縱DEUS的預言機價格，以此利用不對等的價值借貸DEI。

ETH，隨后將5,446個ETH存入TornadoCash。

https://debank.com/profile/0x701428525cbac59dae7af833f19d9c3aaa2a37cb/history

安全審計可以有效地避免這一風險。

CertiK安全專家建議：如果只有代幣合約被審計，這種情況在審計過程中將會指出第三方依賴風險。項目應該避免直接從交易對池中獲取價格。建議根據項目的邏輯，使用更值得信任的預言機：

1.使用多個可靠的鏈上價格預言機來源，例如Chainlink和Band協議。

2.使用時間加權平均價格。TWAP代表了一個代幣在特定時間范圍內的平均價格。因此如果攻擊者僅操縱一個區塊的價格并不會對平均價格產生太大的影響。

3.如果合約模式允許，將函數調用者限制在一個非合約/EOA地址。

4.閃電貸款只允許用戶在一次交易中進行借貸。如果合約用例允許，可強制關鍵交易至少跨越兩個區塊。

Tags：DEITODUSDCSDCBRIGADEIRO幣MOTODRACEusdc幣市值減少CUSDC

Fil