買以太坊 買以太坊
Ctrl+D 買以太坊
ads
首頁 > PEPE幣 > Info

BSC:BSC生態項目頻遭攻擊, 黑客事件背后的“真相” 是什么?_DEFI

Author:

Time:1900/1/1 0:00:00

原文標題:《人傻錢多?BSC生態項目頻遭攻擊背后的真相》

作者:indigo

14個項目發生重大安全事件,涉及資金逾3億美元。

這是剛剛過去5月,黑客交出的成績單。不用細看,也能發現,幣安智能鏈BSC成為了黑客攻擊的主要目標——12個項目遭攻擊,造成約2.5億美元的損失。

自DeFi火爆以來,龐大的財富效應吸引投資者的同時也吸引著黑客,在以太坊Gas費長期居高不下、擁堵問題一直得不到解決的時候,BSC等主打高性能、低手續費的公鏈強勢崛起,吸引了大量的資金流入,同時也吸引了黑客的目光。

不過,為什么黑客瞄準了BSC生態的項目,為什么這些攻擊會如此密集的發生,這背后的真相到底是什么?

在解答這些問題之前我們不妨先回顧一下黑客事件、項目方的應對以及當前的進展。

「12個項目被黑,2.5億美元損失?」

1、AMM、合成資產協議SpartanProtocol

SpartanProtocol是一個BSC生態上的資產流動性協議,旨在解決現有AMM協議以及合成資產所出現的各類問題。其流動性池是此協議的核心,所有一切系統內的相關應用都離不開流動性池的支持。

5月2日,攻擊者使用了6100萬美元的BNB閃電貸攻擊了Spartan兌換池,由于流動性份額計算不當的漏洞,攻擊者從資金池中轉移了約3000萬美元的資金。

事件進展:發行新的SPARTA代幣,并將原本未發行的2000萬枚代幣補償此前因攻擊遭受損失的資金池LP。

2、收益聚合器ValueDeFi

ValueDeFi原來名稱是YFValue,是以太坊的原聲協議,后來擴展到BSC上,也是收益聚合器協議。vSwap是一個基于以太坊和BSC的自動代理做市商,允許任何人創建具有靈活比率對的交易池、提供流動性,并賺取交易費用,也是ValueDeFi的旗艦產品之一。

幣安將于今日晚些時候銷毀5000萬枚未使用的BSC鏈上的DAI:1月4日消息,幣安在官方推特上表示,今天晚些時候幣安將銷毀5000萬枚未使用的DAI(BSC),這是在BNB鏈上維持必要的包裝資產供應的標準程序。[2023/1/4 9:51:45]

值得注意的是,vSwapfork了去中心化交易所Uniswap的代碼。其中,Uniswap僅支持按50:50的價值比例添加流動性,而ValueDeFi效仿Bancor允許用戶按不同的價值比例投入到資金池,因而在組合過程中出現了漏洞。

在這5月5日、5月7日兩次攻擊發生前,ValueDeFi已經被攻擊足足6次了,而本次漏洞造成了約1500萬美元的損失。ValueDeFi原本10億美元的鎖倉量也跳水至2000萬美元,跌去80%。

事件進展:官方ReserveFund中的所有vBSWAP和來自ValueDeFi部署者的205658枚BUSD將用于補償池中的所有用戶,資金池中剩余的4540vBSWAP將被鑄造用于補償所有受影響的用戶。

3、跨鏈收益聚合協議bEarnFi

5月16日,基于BSC的跨鏈收益聚合協議bEarnFibVaults的BUSD-Alpaca策略池遭遇閃電貸攻擊,池中近1086萬枚BUSD被盜取。

這起事件源于其協議內部提款邏輯中的錯誤,該錯誤不一致地讀取了相同的輸入金額,但BvaultsBank與其關聯策略BvaultsStrategy之間的資產面額不同。BvaultsBank的提款邏輯是假定提款金額以BUSD計價,而BvaultsStrategy的提款邏輯是假定提款金額以ibBUSD計價,但ibBUSD是帶息的代幣,與BUSD存在價差。

事件進展:bEarnFi將分為兩個階段對此前被攻擊損失的近1100萬BUSD進行補償。目前進行第一階段:bEarnFi更新了界面,用戶可通過訪問bEarnFi,連接錢包點擊提款按鈕以領取賠償。第二階段將在未來進行,團隊需要時間來為用戶損失的另一部分資金建立賠償系統。團隊將按照承諾按總額的105%補償漏洞受害者的巨額資金損失,但團隊表示目前沒有足夠的經濟能力立即補償,建議使用剩余的DAO資金以及該團隊的未來薪金和運營資金來補償用戶損失。

BSC鏈上DeFi協議當前鎖倉量為68.5億美元:金色財經報道,BSC鏈上DeFi協議當前鎖倉量為68.5億美元,24小時漲幅5.9%。[2022/12/4 21:21:19]

4、借貸協議VenusProtocol

Venus是BSC最大的借貸項目,存款額最高的時候超過150億美元,幾乎和同時期的Aave的存款額相當。

Venus飽受詬病,包括上線初期隨意添加CAN代幣作為抵押物,導致3000個BTC被借空,XVS代幣價格也因此暴跌;未經提醒收取提款手續費,導致BSC上大量機槍池遭受不同程度的損失;項目進展緩慢,對社區投資者的訴求不尊重等等。

如果說此前的“CAN事件”的發生是團隊經驗不足,5月19日發生的“抵押XVS惡意借貸”則說明團隊在犯錯后沒有絲毫悔改,更有可能是內部人員故意為之。

根據官方給出的報告顯示,本次大額清算的主要原因為:其SwipeOTC系統被濫用,向XVS買方和BTC賣方下達了幾個大的OTC訂單。由于遭遇清算,0xef044開頭的賬戶凈損失達到6600萬美元。自1月以來,該賬戶已積累130萬枚XVS,但在本次事件中損失了全部資金。5月19日當天,XVS在現貨市場的買入量約為1.77億美元,賣方獲利約5500萬美元。之后,清算人利用閃電貸低價買入抵押品,持續進行套利,導致了協議進行了大量的鏈上清算,Venus平臺也產生了超過1億美元的壞賬,數以百計的用戶遭受了損失和清算。

事件進展:VenusGrants計劃將拿出大約120萬枚XVS到場外交易市場,并通過交易對手換成BTC和ETH并存回協議。這些XVS將在不少于3個月內逐步清算,以盡量減少對XVS持有者的影響。另外,Swipe將和Venus的資源與團隊完全隔離,并關閉舊的OTC業務,Venus原有的團隊和管理層也將重組。

5、收益聚合器PancakeBunnyPancakeBunny是BSC上最大的機槍池,也是曾經DeFi領域最大的機槍池,鎖倉量最高的時候超過75億美元。它的最大功勞就是幫助PancakeSwap鎖住了CAKE代幣的流動性,推動CAKE市值的不斷走高。

安全機構:BSC鏈上Cupid代幣合約遭受閃電貸攻擊分析:8月31日消息,據Beosin EagleEye平臺監測顯示,BSC鏈上Cupid代幣合約遭受閃電貸攻擊,Beosin安全團隊分析發現,Cupid合約0x40c994299fb4449ddf471d0634738ea79c734919有一個獎勵的邏輯漏洞,擁有USDT/VENUS的LP代幣可以得到Cupid代幣,攻擊者利用閃電貸貸出USDT,購買VENUS代幣,抵押后得到LP代幣,把LP發到多個地址后通過調用被攻擊合約的0xe98bfe1e()函數claim得到Cupid代幣,獲得Cupid代幣后拋售獲利78,623 USDT。[2022/8/31 13:00:41]

由于PancakeBunny使用了PancakeSwap來進行資產價格計算的,5月20日,攻擊者于利用閃電貸操縱了PancakeSwap中BNB-BUSDT和BNB-BUNNY池的資產價格,導致PancakeBunny協議損失了114631枚BNB和697245枚BUNNY,BUNNY代幣也被黑客大量鑄造并拋售,價格從240美元閃崩,一度跌破2美元。

事件進展:PancakeBunny將通過發行新代幣pBUNNY并創建補償池,補償BUNNY原始持有者由于代幣價格大跌造成的損失。

6、BoggedFinance

基于BSC的DeFi協議BoggedFinance旨在提供去中心化的鏈上預言機和代碼執行。5月22日,BOG代幣的合約質押功能漏洞遭遇了閃電貸攻擊,黑客利用PancakePairSwap代碼,在合約驗證完成前提取了質押收益,導致鑄造了超過1500萬枚BOG代幣,而這些代幣大部分原本應該分配給BOG的質押者。

初始的BOG代幣合約對所有交易都收取交易額的5%作為手續費,其中4%按比例分配給流動性提供者,1%被銷毀。然而,在此次攻擊中,該合約對所執行的交易僅收取了1%的交易額作為交易費用,分配給包括攻擊者在內的流動性提供者額外的4%作為獎勵,攻擊者通過閃電貸加大質押的金額,并不斷地自我轉賬使得質押獎勵通脹。

跨鏈資產橋ChainSwap遭到攻擊,官方凍結BSC映射代幣地址以過濾掉黑客地址:官方消息,跨鏈資產橋ChainSwap宣布遭到攻擊并表示,已對攻擊前的持有者和LPs進行了快照,將對攻擊前的持有者和LPs空投1:1的新ASAP代幣,包括交易所的ASAP持有者。ChainSwap提醒不要購買目前交易的ASAP代幣。此外,ChainSwap表示將對受影響的代幣實施補償計劃。

目前,Chainswap團隊已經凍結了BSC映射代幣地址,以過濾掉黑客地址。在Chainswap完成過濾之前,余額可能會暫時顯示為0。智能合約受到影響,而不是與Chainswap交互的錢包。來自個人錢包的資金是安全的。[2021/7/11 0:42:45]

受攻擊事件的影響,BOG的價格閃崩,險些歸零,從8.5美元跌至0.15美元,跌幅達到98%,損失約300萬美元。

事件進展:官方發布了代幣重啟計劃,現已完成快照和開啟空投,并將于UTC時間5月31日21:00啟動預質押和認領、UTC時間6月1日21:00重新開啟BOG交易。BOG合約地址以0xd7開頭的舊BOG代幣將不再具有價值,將遷移至新BOG代幣合約。

7、指數基金DeFi100

5月23日,DeFi指數基金DeFi100的官網顯示:“我們欺騙了你們,但你們做什么都沒用了。”隨后官方確認,因遭受黑客攻擊,DeFi100損失了超過3200萬美元。

官方也表示,如此狂妄的言論是黑客制造的,但這一切是真被盜還是監守自盜,我們無法解析黑暗的一面。

處理方式:官方計劃重啟項目。

8、收益聚合、固定利率協議AutoShark

5月24日,基于BSC的固定利率、收益聚合協議AutoSharkFinance遭到閃電貸攻擊,損失金額約80萬美元。

DeFIL社區聯合發起人:DeFIL2.0除了部署以太坊外,還將部署BSC鏈:據官方消息,6月30日21時,《DeFIL——去中心化的Filecoin借貸金融服務平臺》AMA直播結束。在一個小時的直播過程中,Marvin圍繞“DeFIL項目1.0的成就回顧、DFL二級市場的表現、DeFIL2.0的重大升級、標準算力通證FILST及應用場景、未來技術升級路線”等方面做了詳盡闡述。Marvin還表示,DeFIL2.0除了部署以太坊外,還將部署BSC鏈,未來會陸續部署于多鏈,在不同生態為用戶獲取價值。[2021/6/30 0:18:02]

攻擊源于在LP價值錯誤和手續費獲取錯誤的情況下,SharkMinter合約最后在計算攻擊者的貢獻的時候計算出了一個非常大的值,導致SharkMinter合約為攻擊者鑄造出了大量的SHARK代幣,致使其幣價閃崩,從1.2美元快速跌至0.01美元,險些歸零。

可以說AutoShark不僅Fork了PancakeBunny的代碼,其被攻擊的手法也與PancakeBunny如出一轍。

事件進展:官方表示將發行新代幣JAWS補償受損用戶。

9、收益聚合器MerlinFinance

在AutoShark遭到攻擊不到48小時后,也就是5月26日,BSC生態自動收益聚合器MerlinFinance遭到黑客的同源攻擊。攻擊者通過調用函數getReward()抬高了LP代幣的價值,獲得了額外價值4500萬美元的BUNNY獎勵。

事件進展:團隊將向用戶空投補償代幣cMERL,該代幣持有者將能夠從補償池中獲得BNB獎勵。同時,額外的開發團隊資金將被用于執行銷毀和回購活動,以恢復代幣價格。

10、AMM協議BurgerSwap、JulSwap

5月28日,基于BSC的鏈上首個自主治理協議BergerSwap遭到閃電貸攻擊,攻擊者利用重入攻擊,在智能合約正常啟動第二次存入之前,調用_update函數,致使協議有超過432874個BURGER代幣被盜。

當日,另一個AMM協議JulSwap也遭到類似攻擊,幣價最高下跌90%。

值得注意的是,BurgerSwap和JulSwap的代碼都是ForkUniswap的,但似乎它們并沒有完全理解Uniswap背后的邏輯。

事件進展:計劃發行cBURGER以賠償在此前閃電貸攻擊中收到損失的用戶。BurgerSwap將依據攻擊前持有BURGERLP數量進行cBURGER空投,并創建一個價值700萬美元的BURGER/cBURGER補償金池,用戶可將獲得的cBURGER質押進該池獲得補償。補償將在90天內線性釋放,補償金將使用原本分配給團隊的BURGER與BurgerSwap產生的收入來支付。

11、鏈上多策略收益優化AMM協議BeltFinance

BeltFinance是以太坊穩定幣兌換協議CurveFinance的Fork版本。5月30日,攻擊者通過重復買賣BUSD并利用bEllipsisBUSD策略余額計算中的漏洞操縱了beltBUSD的價格進行獲利。

根據事故報告,本次攻擊黑客共獲利623萬美元。BeltFinance的BUSD金庫用戶遭受了21.36%的資金損失,4Belt池的用戶遭受了5.51%的資金損失,而其他資金池或保險庫則沒有受到影響。

事件進展:在攻擊發生之后,官方表示將在接下來的48小時內恢復取款和存款,并發布補償計劃。截至目前,仍未有具體賠償措施公布。

「黑客事件背后的“真相”?」

DeFi玩家們都知道,2020年下半年,以太坊鏈上的項目也經歷過?規模的閃電貸攻擊,利用預言機操縱價格、重入攻擊等等都造成了無數的資金損失。

背靠幣安這座大山并作為以太坊的“二層網絡”,BSC上的新項?雖然蓬勃發展,資金體量也不斷飆升,但一些項目卻沒有“敬畏心”,在黑客面前成了“人傻錢多”的優質攻擊目標:

不少項目簡單fork以太坊生態協議的代碼,肆意的組合不同協議,在他人的代碼上進行微創新,或是本就沒有長期做項目的“初心”。

要知道,隨著DeFi在協議的可組合性方面愈發豐富,如果沒有完全理解原協議背后的邏輯,進行隨意的組合或創新,過程中的排斥性就會出現,從?導致潛在的漏洞和?險,給予黑客可乘之機。

區塊鏈安全公司PeckShield派盾在接受深鏈財經的采訪表示,從BSC安全事件的攻擊共性來看,攻擊者?多從已知的漏洞下?,經過不斷地試驗,找到漏?之?。

例如,PancakeBunny遭到攻擊后,Fork其代碼的AutoShark、Merlin接連遭受同源攻擊。

而從攻擊?法來看,攻擊者并不需要太?的技術和資??檻,只要耐?地將同源漏洞在ForkPancakeBunny的DeFi協議上重復試驗就能撈上可觀的?筆。

在傳統的條件下,黑客們攻擊金融系統時所憑借的主要是他們在計算機技術上的優勢,而在現有的DeFi生態下,由于各鏈、各應用之間的互通性還并不是那么好,因此跨鏈、跨應用之間的套利機率可能較大。這時,即使一個計算機本領不那么強的人,只要他有足夠的金融知識和足夠的市場嗅覺,就也可以成為黑客,對DeFi系統進行攻擊。

另外,相比以太坊上高昂的Gas費,黑客在BSC鏈上進行攻擊的成本可能最多只需要幾百美元。

值得注意的是,近幾次發生的閃電貸攻擊,攻擊者在獲利后,都通過Nerve協議的跨鏈橋將所獲資產快速轉移到以太坊上并將資產重新投?到DeFi的流動性挖礦中,或通過Tornado.cash等隱私協議將資產轉?。DeFi領域的技術創新也衍?出新型洗錢?式,對于反洗錢提出了新的挑戰。

不過,跟閃電貸一樣,跨鏈橋本身是?種創新,它并不是?種惡意?具,它打破了各類加密資產的流通存在的壁壘,協助資產?由流動以及公鏈交互,進?使得DeFi能夠?向縱深發展。

這也給開發者帶來了考驗,只有不斷提升自身協議的安全系數、積累代碼安全的經驗后,才能從容地防范和應對黑客的攻擊。

「黑客事件的警示?」

頻頻發生的黑客攻擊事件給DeFi開發團隊們亮起了警示燈,畢竟沒有玩家愿意將自己的資金放在一個有漏洞的項目上,區塊鏈世界也是用腳投票。

事實上,TheBlock數據也顯示,因為黑客攻擊事件,BSC已有部分鎖倉資金回流至以太坊,總鎖倉量回落至20億美元。

對于DeFi項目開發團隊而言,需要提?安全意識,不能只是簡單的復制其他協議的代碼,務必?查邏輯,排除可能的漏洞,或尋求專業代碼審計團隊的幫助。

PeckShield派盾表示,新合約上線之前除了要進?全??專業的智能合約安全審計,排查已知的各類漏洞外,還要注意排查與其他DeFi產品進?組合時的業務邏輯漏洞,避免出現跨合約等邏輯兼容性漏洞。

另外,更重要的是要引入一定的風控熔斷機制,引?第三?安全公司的威脅感知情報和數據態勢情報服務等,做到第?時間響應安全?險,及時排查封堵安全攻擊。

在攻擊事件發?時,應聯動?業各??量,搭建?套完善的資產追蹤機制,事后需做到查缺補漏,完善防御系統。

所有的DeFi協議都存在著變數,即使?個協議被?常徹底地進?多次審計,但是?個?的更新也會讓靜態的審計變得毫無疑義。

不光是DeFi協議的安全事件頻發,隨著各種應用落地,區塊鏈數字資產引發的安全問題總體呈上升趨勢,加密資產犯罪五花八門,盜幣、詐騙、洗錢等案件頻發,各種原因造成的“黑天鵝”事件也層出不窮。

區塊鏈既是未知的,又是充滿可能性的。如何讓區塊鏈迸發出更大的能量,如何規避和抵御各種風險和問題將是一個永恒的話題,而這也需要從業者一同努力。

Tags:EFIDEFDEFIBSCSDEFIDeFiAIDeFiStarterBSCS

PEPE幣
區塊鏈:怎么理解近期的監管政策:以內蒙古“打擊挖礦八項措施”的出臺為例_HARL

昨日,內蒙古發展改革委公眾號發布了關于對《內蒙古自治區發展和改革委員會關于堅決打擊懲戒虛擬貨幣“挖礦”行為八項措施》公開征求意見的公告,一些礦圈的讀者向我們留言詢問有關政策該如何理解的相關問題.

1900/1/1 0:00:00
NFT:矛盾的高失業率與高通脹 美國QE變化會如何影響比特幣走向_DAO

吳說作者|Rebecca本期編輯|ColinWu????????高失業率只是高額補貼導致的暫時現象,但高通脹率是持續的現象。美國貨幣政策一定會縮減,只是取決于是年中、年底還是明年.

1900/1/1 0:00:00
TOKEN:蔡維德:區塊鏈如何塑造新金融體系?_ZG Token

編者按:5月10日,中國人民大學重陽金融研究院高級研究員、北京航空航天大學教授,清華長江講座教授,北航數字社會與區塊鏈實驗室主任蔡維德.

1900/1/1 0:00:00
以太坊:晚間必讀5篇 | BTC短期再創新低概率較小?_BTC

1.主流機構眼中的以太坊:以太坊或將超越比特幣在過去一年中,以太坊市值與比特幣市值之比增加了一倍。以太坊占整個加密貨幣市場總市值的18.3%,而比特幣的主導地位已降至43.8%.

1900/1/1 0:00:00
比特幣:幣圈新“韭菜”:從狂歡到失語,信仰打碎再重鑄_區塊鏈

對于絕大多數人來說,“比特幣”早已不是一個陌生的詞匯。他們也許很早就聽說過比特幣致富的神話,但當時對他們來說,虛擬貨幣只是一個存在于網絡世界中虛幻飄渺、不切實際的前沿概念,遠沒有錢包里和銀行卡賬.

1900/1/1 0:00:00
PUD:華盛頓郵報:隨著比特幣瘋狂波動,白宮正在研究相關監管空白_LOC

根據《華盛頓郵報》報道,拜登政府、議員和央行行長正在努力應對加密貨幣帶來的新挑戰。兩名知情人士透露,本月初,美國財政部官員已向白宮通報了加密貨幣帶來的風險.

1900/1/1 0:00:00
ads