COM:Furucombo被盜1400萬美元啟示錄：切勿過度授權_UCO

北京時間2月28日凌晨，以太坊協議組合工具Furucombo智能合約出現一個嚴重漏洞。攻擊者已經利用該漏洞獲利超過1400萬美元。

PeckShield分析發現，該漏洞與幾天前PrimitiveFinance出現的漏洞原理相同，與用戶的無限授權有關。

由于CreamFinance未及時從錢包里撤銷所有對外部合約的授權，因此受到該漏洞的影響，造成損失約110萬美元。?

Bitfury CEO：去年比特幣礦業使用約58%的可持續能源進行挖礦:1月21日消息，美國眾議院能源和商業委員會于1月20日就加密貨幣的能源消耗舉行監督聽證會。前OCC代理署長、現任Bitfury首席執行官Brian Brooks表示，“一項消耗100 TW純煤或石油發電量的活動會給環境增加碳排放并消耗稀缺資源；一項消耗同樣電量的太陽能、風能和水電混合發電量的活動不會帶來這兩種影響。”他提供的數據顯示，去年比特幣礦業使用的能源組合中約有58%是可持續來源的，其中包括風能、水力、太陽能、核能和碳抵消，而美國整個能源網的這一比例為31%。Soluna首席執行官John Belizaire和Jordan Ramis PC股東Gregory Zerzan表示，加密挖礦實際上幫助可再生能源生產商出售原本會浪費的電力，從而為他們提供急需的資金。聽證會的大部分集中在區塊鏈技術的基礎上，讓立法者了解不同的驗證模型（如PoS）以及區塊鏈網絡的一些網絡安全問題，例如51%攻擊。幾位議員還詢問了比特幣挖礦可能產生的意外積極或消極因素。（CoinDesk）[2022/1/21 9:03:53]

DeFi聚合器Furucombo于2020年3月推出，最初只支持UniswapV1交易及Compound供應功能。2020年12月，Furucombo添加連接Uniswap，Compound和Aave等協議。

Infura以太坊2.0 API已啟動 用戶可以通過Infura獲取信標鏈信息:Ethereum和IPFS的API服務供應商Infura表示，Infura以太坊2.0API測試版已啟動，用戶可以通過Infura以太坊2.0 API訪問以太坊信標鏈，分析以太坊信標鏈的狀態，并簡化和提高以太坊2.0驗證節點設置的可靠性。[2021/2/3 18:46:18]

其首席執行官Hsuan-TingChu曾表示：“Furucombo不同于1inch和YearnFinance，Furucombo聚合各種DeFi協議。使用Furucombo，所有都'無需許可'。"

MXC抹茶：未受Infura宕機影響，以太坊API數據源使用自有節點服務:因以太坊節點RPC API服務的Infura宕機，導致部分平臺ETH與ERC20資產充提受到影響。

對此，MXC抹茶相關負責人表示，MXC抹茶搭建了自有的API數據源節點，未受到此次Infura宕機事件影響，用戶可正常交易、充值、提現ETH及ERC20資產。[2020/11/11 12:20:26]

同時，Furucombo允許用戶進行無抵押快速貸款和借入任何數量的資產。

PeckShield通過追蹤和分析發現，Furucombo協議具有樂高性，此次漏洞與用戶的無限授權有關。首先攻擊者制造了一個攻擊智能合約，并將其運行于易受到攻擊的Furucombo代理中；

Furucombo調用白名單中的AaveLendingPoolv2函數，并在函數中附帶攻擊合約地址，調用AaveLendingPoolv2:：initialize函數，該函數可進一步調用提供的攻擊合約；

最后，在用戶未撤銷授權的情況下，攻擊者可通過攻擊Furucombo代理，盜取用戶錢包里的資產。

在流動性挖礦的引領下，DeFi于2020年再次起飛，并成為金融革新的焦點，在這一領域的玩法也越發多樣。由于協議內存放著各類有價資產，讓DeFi亦成為被攻擊的重災區。

PeckShield安全專家表示：“DeFi聚合器Furucombo把樂高性玩到極致的同時，對每個環節的審計更是至關重要，新的組合會不斷變化和適應，這就要求對合約進行定期的、持續的安全審計，而不是在啟動前打勾。”

在處理資產時，需謹慎授權。DeFi正經歷一個前所未有的增長時期，在這個時期，信任的成本非常高。

隨著DeFi行業規模迅猛增長，尤其是業務和運營合作上的不斷發力，組合過程中潛在的安全問題會愈發凸顯出來。黑客在攻擊某一DeFi合約漏洞獲利后，會利用同原理的漏洞對其他DeFi合約進行依次攻擊。

PeckShield提示各DeFi合約，一旦發生攻擊事件后，應自查代碼，如果對此不了解，及時找專業的審計機構進行審計和研究，防患于未然。

Tags：FURCOMCOMBOUCOFUR價格COMC幣combo幣發行總量kucoin法務被抓

火必下載