原標題:《黑客攻同源漏洞「團滅」Fork協議》
撰文:凱爾
2021年5月,加密資產市場頗為動蕩,BTC從5萬美元上方最低跌至29000美元,幾近腰斬,大多數加密資產最大跌幅超過50%。
二級市場巨震之下,鏈上生態也不太平。5月份,DeFi市場發生至少13起黑客攻擊事件,多集中在幣安智能鏈上,折損資金達到2.7億美元,超過了2020年所有DeFi安全事件的資產損失。BSC官方認為,一個有組織的黑客團隊盯上了BSC。
為何BSC鏈上項目集中失竊?黑客又如何做到快速捕捉項目漏洞?區塊鏈安全公司PeckShield發現,很多被攻擊的項目都存在同源漏洞。
比如,在BSC收益聚合器PancakeBunny被攻擊后,Fork自PancakeBunny的AutoShark和MerlinLabs在接下來的一周內接連失竊;而被攻擊的BurgerSwap和JulSwap,代碼都是Fork自Uniswap,但它們似乎在進行改動時產生了漏洞。
JST已完成幣安智能鏈BEP-20合約部署:據官方最新消息,JST已完成幣安智能鏈BEP-20合約部署,幣安Binance現已開通BEP20-JST充提入口,以便用戶全面參與BSC生態。BEP20-JST合約地址見官網公告。
據悉,JUST是在波場TRON上運行的第一個DeFi項目,旨在打造基于波場TRON的穩定幣借貸平臺,同時也是全球性數字交易平臺、交易量曾登頂全球Top3的Poloniex LaunchBase首期上線項目。JUST是一個雙代幣系統。第一個代幣USDJ是按1:1的匯率與美元掛鉤的穩定幣,是通過JUST的CDP門戶抵押TRX產生的。第二個代幣JST,可用于支付利息,平臺維護,通過投票參與治理以及JUST平臺上的其他活動。[2021/5/19 22:22:17]
PeckShield相關安全負責人告訴蜂巢財經,這些Fork出的協議被攻擊主要是在沒有完全理解原協議背后的邏輯下,進行微創新,導致一個小的更新或小的組合就可能產生漏洞。
屢次發生的安全事件再度給協議開發者提了個醒,在進行DeFi的模式創新時,不應忽視底層代碼的安全性。
DeFiBox上線幣安智能鏈BSC專區,并支持BSC上8個項目實時追蹤挖礦收益功能:3月29日,據官方公告,一站式DeFi門戶DeFiBox.com現已正式開通幣安智能鏈BSC專區,幫助用戶一覽BSC鏈上優質DeFi項目。
此外,DeFiBox還宣布現已支持Venus、Autofarm、Goose Finance、1inch、JulSwap、Cream Finance、Alpaca Finance和BakerySwap的合約解析功能,用戶通過 DeFiBox.com 即可實時追蹤挖礦收益功能,并根據相關數據進行策略調整。
據DeFiBox團隊表示,未來DeFiBox.com 將更加深入地提供權威和完整的項目信息,幫助用戶快速發現優質項目投資機會。詳情見官網公告。[2021/3/29 19:26:09]
12個項目被攻擊折損2.7億美元
屋漏偏逢連夜雨。在加密資產市場跌勢不止時,鏈上協議的安全事故頻發。
5月30日,BSC上的穩定幣兌換協議BeltFinance遭遇閃電貸攻擊,損失620萬美元。根據區塊鏈安全公司PeckShield的追蹤,此次攻擊源于攻擊者在PancakaSwap完成8筆閃電貸后,通過重復買入賣出BUSD,利用bEllipsisBUSD策略余額計算中的漏洞操縱beltBUSD的價格進行獲利。
DeFi平臺Effect Network將從EOS區塊鏈轉向幣安智能鏈:DeFi平臺Effect Network將從EOS區塊鏈轉向幣安智能鏈。Effect Network開發人員周四表示,轉向BSC的主要原因是對EOS區塊鏈及其領導層的未來的擔憂。此前1月份消息,EOS創始人BM辭去Block.one首席技術官一職。(CoinDesk)[2021/3/26 19:19:25]
被攻擊后,BeltFinance就閃電貸攻擊事件發推致歉并發表報告,其表示將進行進一步審計,并將在48小時內發布用戶補償計劃。
受此影響,BeltFinance治理代幣BELT大幅下跌,從28日的58美元高點跌至27美元,短期跌幅達到53.44%。
這已是5月份第12個被攻擊的BSC鏈上項目。蜂巢財經統計,自5月2日以來,SpartanProtocol、ValueDeFi、BearnFi、Venus、PancakeBunny等項目接連失竊,共計損失2.7億美元資金,ValueDeFi更是兩次遭攻擊。
幣安智能鏈上Meerkat Finance項目金庫合約遭遇黑客攻擊:剛剛,微博大V“超級比特幣”在微博表示,“BSC鏈上山寨羊駝defi項目跑路,三小時1300萬美金。唉,土狗別沖啊!”
社群信息顯示,DeFi項目Meerkat Finance金庫合約遭遇黑客攻擊,黑客利用漏洞盜取了金庫中的全部資金。
金色財經在此提醒用戶,挖礦有風險,投入需謹慎。[2021/3/4 18:15:16]
BSC被攻擊項目一覽
2.7億美元的資產損失已經超過了2020年所有DeFi安全事件的損失。根據此前PeckShield發布的數據,2020年DeFi安全事件達到60起,損失逾2.5億美元。
短短一個月時間,BSC鏈上連續不斷遭到黑客光顧,顯得頗為蹊蹺。壓力之下,BSC官方不久前在社交平臺發文稱,最近已經接連發生超過8起針對BSC鏈上項目的閃電貸攻擊,「我們認為現在有一個有組織的黑客團隊盯上了BSC。」
MXC抹茶上線幣安智能鏈TWT1,開盤上漲900%:12月22日21:40,MXC抹茶考核區上線幣安智能鏈TWT1(Trust Wallet),開放USDT交易。TWT1開盤價為0.03USDT,當前最高報價0.3USDT,最高漲幅900%。
資料顯示,TrustWallet(trustwallet.com)是一款集安全、開源、匿名于一體的移動端以太坊錢包。TWT1為TWT在幣安智能鏈(BSC)上的數字資產。
注:信息僅供分享,不構成任何投資建議。[2020/12/22 16:09:30]
BSC官方呼吁所有DApp防范風險,建議鏈上項目與審計公司合作進行健康檢查,如果是分叉項目,需反復檢查相對原始版本進行的更改;采取必要的風險控制措施,實時主動監控異常情況,一旦出現異常及時暫停協議;制定應急計劃,以防出現最壞的情況;如果條件允許可設定漏洞賞金計劃。
的確,復盤12起安全事件,閃電貸攻擊是黑客最常用的手段。SpartanProtocol、PancakeBunny、BoggedFinance、BurgerSwap、JulSwap等項目都是閃電貸攻擊的受害者。
需要明確的是,閃電貸本身并非是一種攻擊手段,它只是一種高效的借貸模式,能夠放大任何人的本金。正如ChainlinkCMOAdelynZhou所言,「閃電貸不會在DeFi內部產生漏洞——它只是揭示了已經存在的漏洞。」
在DeFi經過了高速發展后,BSC上仍有如此多項目在短時間內暴露出漏洞,令鏈上用戶感到心驚。不禁要問,為什么這些安全事件集中爆發在BSC鏈上?又為何黑客能夠快速找到這么多項目的漏洞并實施攻擊?
Fork隱患爆發事發項目多遭同源攻擊
今年以來,BSC異軍突起,作為以太坊的側鏈,它憑借更高效的交易處理效率和低廉的手續費,吸引了大量的項目和鏈上玩家入駐,巔峰時期,其鏈上總鎖倉價值超過344億美元,是僅次于以太坊的第二大DeFi集結地。
BSC生態的快速崛起,搶占鏈上先發紅利,大量項目扎堆部署。由于此前,以太坊上大多項目已經開源,不少開發者采用了Uniswap、Curve等成熟項目的開源代碼,經過簡單修改后便在BSC上快速上架。而這種匆忙地Fork成了BSC鏈上項目成批量被黑客攻擊的隱患。
據PeckShield披露,近期被攻擊的BurgerSwap和JulSwap,代碼都是Fork自Uniswap。PeckShield指出,「但它們似乎并沒有完全理解Uniswap背后的邏輯。」
根據事發后BurgerSwap的報告,攻擊者自發「假幣」,隨后與協議的原生代幣BURGER形成交易對,改變了后者的價格。很顯然,分叉自Uniswap的BurgerSwap在某些方面不夠成熟,被黑客鉆了空子。
Fork協議的來源不僅是以太坊,BSC鏈上一些早期協議應用也被后來者Fork上鏈。AutoShark和MerlinLabs兩個聚合器協議,皆因Fork了PancakeBunny被黑客洗劫。從時間線來看,5月20日,PancakeBunny遭到閃電貸攻擊,此次攻擊源于攻擊者利用該協議操縱了LPTokenBNB-BUNNY和BNB-BUSDT的價格。
看到PancakeBunny被攻擊后,AutoShark發文強調自己的安全性,表示其做了4次代碼審計,其中2次正在進行中。但打臉接踵而至,僅僅4天后,AutoShark遭遇閃電貸攻擊,其代幣SHARK瞬間下跌99%。根據PeckShield的分析,此次攻擊手法與PancakeBunny被攻擊的手段相似。
被打臉的還有MerlinLabs,在被攻擊前,它也曾發文表示已經反復執行代碼的審核,為潛在的可能性采取了額外的預防措施。但5月26日,黑客就「乘勝追擊」,洗劫了MerlinLabs。
PeckShield認為,這是攻擊PancakeBunny后的模仿案,攻擊者都不需要太高技術和資金的門檻,只要耐心地將同源漏洞在Fork出的協議上重復試驗,就能撈上可觀的一筆。「Fork的DeFi協議可能尚未成為Bunny挑戰者,就因同源漏洞損失慘重,被嘲笑為『頑固的韭菜地』。」
此外,在BeltFinance被攻擊的案例中,黑客利用了bEllipsisBUSD策略余額計算中的漏洞,操縱了beltBUSD的價格,而Ellipsis則Fork自以太坊知名協議Curve。
PeckShield相關安全負責人告訴蜂巢財經,這些Fork的協議被攻擊主要是在沒有完全理解原協議背后的邏輯,進行微創新,導致一個小的更新或小的組合就可能產生漏洞。
該負責人表示,從已知的漏洞下手是攻擊者對尚處發展階段的DeFi領域常用的「覓食」方法。對于項目方來說,對DeFi協議安全的重視,不是嘴上說說而已,而是要做到「吾日三省代碼」:協議上線前有沒有做靜態審計?其他協議遭到攻擊后,有沒有自查代碼,檢查是否出現類似漏洞?交互的協議有沒有安全風險?
從上述案例來看,BSC鏈上一批項目集中失竊,主要是黑客找到了多個協議的同源漏洞,只需模仿攻擊手段,就能「舉一反三」,在短時間內完成對多個項目的剽竊。
屢次發生的安全事件也給協議開發者提了個醒,在進行DeFi的模式創新時,不應忽視底層代碼的安全性。
對此,PeckShield建議,新合約上線前要進行審計,也需要注意排查與其他DeFi產品進行組合時的業務邏輯漏洞。同時要設計?定的風控熔斷機制,引?第三?安全公司的威脅感知情報和數據態勢情報服務,完善防御系統。「所有DeFi協議都存在變數,即使?個協議進行了多次審計,?個小的更新也會使審計變得無用,因此即使?個小的更新都要重新進行審計。」
Tags:EFIDEFDEFIBSCRamp DeFiAlchemist DeFi AurumMarhabaDeFiPXBSC價格
隨著區塊鏈漸漸進入普通用戶視野,很多有趣的去中心化應用開始流行起來,比如下圖中去中心化交易所,還有基于多種玩法的DeFi協議等等.
1900/1/1 0:00:00在UniswapV3上線初期,很多最早加入為V3做市的LP們享受了極高的手續費收益率。但是好景不長,整個加密市場在5月下旬遭遇了價格的大幅下跌,許多V3的LP們發現,自己持有的做市頭寸,不但全部.
1900/1/1 0:00:00昨日,內蒙古發展改革委公眾號發布了關于對《內蒙古自治區發展和改革委員會關于堅決打擊懲戒虛擬貨幣“挖礦”行為八項措施》公開征求意見的公告,一些礦圈的讀者向我們留言詢問有關政策該如何理解的相關問題.
1900/1/1 0:00:002021年5月19日,比特幣市場經歷了自2020年3月黑色星期四以來最重大的清算事件和價格下跌之一.
1900/1/1 0:00:00編者按:本文由?CabinVC聯合Flow和TheSandbox撰寫并發布,Odaily星球日報聯合發布NFT?即非同質化代幣,具不可拆分替代、非標準化等特質.
1900/1/1 0:00:002021年5月19日,BTC價格大幅下跌。當天BTC永續合約最高價格為4.35萬美元,最低為2.85萬美元。即使對BTC來說,這也是一個大回調.
1900/1/1 0:00:00