DEF:DeFi面臨四面楚歌？Inverse Finance被盜取約1500萬美元_99DEFI

2022年4月2日，成都鏈安鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示，InverseFinance項目遭受攻擊，累計損失估計大約1500萬美元。成都鏈安技術團隊第一時間對此事件進行了相關分析。

#1分析如下

攻擊地址1：

0x117c0391b3483e32aa665b5ecb2cc539669ea7e9

攻擊地址2：

DeFi策略游戲SOVI將進行挖礦升級，開啟HONOR榮譽積分計劃:3月26日凌晨00:30左右，DeFi策略游戲SOVI.Finance將進行流動性挖礦升級，并開啟HONOR榮譽積分計劃，開拓全新的生態應用場景。

HONOR榮譽積分計劃作為對現有的流動性挖礦升級，將在HECO鏈的3265600高度開啟新的挖礦激勵機制，用戶可以通過單幣質押SOVI或質押SOVI/USDT、SOVI/HT的LP令牌來獲得HONOR榮譽積分。

HONOR榮譽積分在SOVI生態中的應用場景豐富，目前已經公開的用途包括：一、兌換戰場收益分紅；二、購買高級NFT；三、升級戰場設施；四、進入精英戰場。[2021/3/25 19:18:02]

0x8b4c1083cd6aef062298e1fa900df9832c8351b3

DeFiBox正式上線火幣生態鏈Heco專區:1月8日，據DeFiBox官方消息，DeFiBox.com現已上線火幣生態鏈Heco專區，幫助用戶一覽Heco鏈上的所有重點DeFi項目。據DeFiBox 團隊表示，未來DeFiBox.com 將更加深入地提供權威和完整的項目信息，幫助用戶快速發現高收益機會。

DeFiBox是一個專注于幫助用戶捕捉DeFi世界最新投資機會、精準把脈用戶投資收益率和提供一站式DeFi資產和信息聚合平臺，DeFiBox致力于為DeFi用戶打造便于跟蹤DeFi項目、投資組合、相關收益率，及自身投資情況的DeFi資產管理工具。[2021/1/8 15:40:27]

攻擊交易hash:

數據：本周DeFi鎖定BTC新增逾2萬枚，為閃電網絡總鎖定數的20倍:據DeFi Pulse統計，9月2日以太坊鏈上鎖定的比特幣數量達到67038枚（價值約6.94億美元），目前已上升至歷史高點87752枚（價值約9.04億美元），增幅達30.9%。這相當于閃電網絡中鎖定比特幣的20倍。其中有超過50%（51295枚比特幣）為WBTC，占自9月2日以來增長的比特幣錨定幣的63%（13000枚WBTC）。此外，RenVM鎖定了17630枚比特幣，自本月初以來增加了2500枚。

相比之下，比特幣閃電網絡僅占DeFi鎖定的比特幣總量的1.2%（1061枚)。截至9月，鎖定在閃電網絡上的比特幣只增長了4枚，不到比特幣總增長的0.02%。自今年年初以來，閃電網絡共新增了198枚比特幣，增幅達23%。作為對比，WBTC今年新增鎖定的比特幣數量達5萬枚，增幅超過了8600%。（Cointelegraph）[2020/9/11]

0x20a6dcff06a791a7f8be9f423053ce8caee3f9eecc31df32445fc98d4ccd8365

0x600373f67521324c8068cfd025f121a0843d57ec813411661b07edc5ff781842

攻擊合約：

0xea0c959bbb7476ddd6cd4204bdee82b790aa1562

首先攻擊者從Tornado.Cash取出900ETH為拉高INV代幣價格做準備。

攻擊者使用300個ETH，兌換出374個INV代幣，再用200ETH兌換1372個INV代幣，累計兌換1746個INV代幣，這里可以發現第一個池子用300個ETH只兌換出374個INV，而后面卻使用200ETH兌換出1372INV代幣，第一個池子WETH/INV中的INV價格已經明顯被拉高。

在計算Xinv代幣價格時，依靠WETH/INV(0x328dfd0139e26cb0fef7b0742b49b0fe4325f821)這個pair去計算。因為pair這個池子已經被操縱了，再加上timeElapsed間隔時間短，那么攻擊者需要滿足不在當前區塊調用，就可以利用操縱的價格，那么就可以操縱xINV代幣的價值。

可以看到當攻擊操縱了pair之后，就不停的發送mint交易，用于確保自己能夠最大化利用時間窗口。同時，攻擊者巧妙的避開了操縱價格的區塊去mint，不然將會使用操縱價格區塊的前面區塊去計算價格。

然后攻擊者直接把自己持有的1746INV代幣全部mint，換取1156個xINV代幣，再依靠持有的xINV借出大量代幣。

Inversefinance?項目方累計損失估計大約在1500萬美元。

在此，成都鏈安建議項目方使用足夠長的時間窗口，例如可以參考以下Uniswap的示例代碼，timeElapsed必須大于24小時以上。

Tags：EFIDEFIDEFINV99DEFIkingdefi幣歸零DefactorINVECTAI

酷幣下載