黑客的狂歡，限于技術掣肘的DeFi如何破局？_EFI:DEFI

2020年3月Compound推出“借貸挖礦”模式，讓沉寂多時的幣圈再次燥動起來。一位參與過DeFi挖礦的“礦工”表示，為了搶到頭礦，他把賭注押在未經測試的代碼上，“不管安不安全，先把頭礦搶了。”開發者們更急，為了快速上線主網，從新發布的代碼中獲得最大收益，他們直接略過了安全審計的步驟。那些穩如泰山的黑客們，也開始把握機會，憑借自身技術實力，伺機攻擊那些沒有做好安全預防措施的DeFi們。進入11月，發生在DeFi協議上的攻擊一起接著一起，DeFi們儼然淪為黑客的取款機。據PeckShield統計，截至目前共發生8起與DeFi相關的安全事件，包括YearnFinance、Percent.finance、CheeseBank、OriginProtocol、Akropolis、ValueDeFi、YFV、88mph，造成損失逾2100萬美元。驚險時分：24小時發生兩起攻擊事件損失近800萬美元

Tether CTO：AI可提高黑客的能力，不要選擇太簡單的密碼:6月19日消息，Tether首席技術官Paolo Ardoino在推特上發布提示稱，“人工智能可以提高惡意黑客的能力，以減少暴力破解字典的大小，學習和推導你的個人偏好。選擇密碼時不要太明顯。”[2023/6/19 21:47:22]

11月17日，PeckShield監控到DeFi協議OriginProtocol穩定幣OUSD遭到攻擊，攻擊者利用在衍生品平臺dYdX的閃電貸進行了重入攻擊（Re-entrancyattack)，造成價值770萬美元的損失。隨后，11月18日，PeckShield監控到DeFi固定利率借貸協議88mph存在代碼漏洞，一名攻擊者利用該漏洞鑄造了價值10萬美元MPH代幣。據悉，88mph于11月16日上線主網，上線僅48小時就遭到了攻擊。在88mph協議中，用戶可通過存入加密資產賺取固定利息，并獲得其原生代幣MPH，也可通過購買浮動利率的債券來獲取MPH代幣。上線僅48小時后即遭伏擊

Mango Markets 社區將批準 4700 萬美元與黑客的交易:金色財經報道，Mango Markets 治理論壇正在通過投票，批準為通過該協議竊取1.14億美元的黑客提供巨額漏洞賞金。根據提供的交易條款，黑客將返還大約6700萬美元的代幣，并保留剩余的 4700 萬美元作為漏洞賞金。治理投票還規定，該項目將使用國庫資金注銷任何剩余的壞賬，一旦返還部分代幣，將不再進行刑事調查。治理投票有1.19億個代幣投票贊成，460萬個反對該交易。投票已達到法定人數，這意味著投票可能會在10月15日早些時候結束時通過。?

金色財經此前報道，10月12日，Mango遭黑客攻擊，損失約1.14億美元。[2022/10/15 14:28:08]

PeckShield通過追蹤和分析發現，首先，攻擊者調用DInterest::deposit()函數將穩定幣儲存在資金池中，此時，存款者會收到一個新的depositID，它相當于非同質化通證，同時MPHMinter合約會開始鑄造MPH代幣；

Synapse跨鏈橋受攻擊事件更新：協議將不會處理黑客的交易，所有nUSD將全額返還:11月8日消息，跨鏈協議Synapse Protocol更新跨鏈橋受攻擊事件進展，協議將不會處理黑客的交易，所有Synapsen USD將全額返回給受影響的流動性提供者們。目前Synapse Protocol網絡正在恢復正常活動以及處理積壓的交易，新的nUSD資金池已完成部署（用stableswap合約代替metapool合約以保證安全性），未受影響的流動性提供者將需要解除抵押并從舊資金池中提取流動性，官方公告將很快發布。此前消息，11月7日，跨鏈協議Synapse Protocol推出的資產跨鏈橋疑似存在漏洞，攻擊者設法操縱nUSD價格并從中獲利約800萬美元。[2021/11/8 6:38:17]

全球虛擬貨幣的安全問題出現紅燈 美國虛擬貨幣交易所Etherdelta遭到匿名黑客的襲擊 :根據韓國首爾經濟新聞報道，美國虛擬貨幣交易所Etherdelta周二（當地時間）遭到匿名黑客的襲擊。幾天前名韓國Youbit交易所遭到黑客攻擊提交一份破產申請，現在全球虛擬貨幣的安全問題出現紅燈。[2017/12/22]

隨后，調用fundAll()函數購買浮動利率的債券，在此步驟中，用戶可獲得MPH代幣和一個fundingID；

接下來，攻擊者將步驟1和步驟2所獲得的depositID及fundingID傳入earlywithdraw()函數提取在這兩步中所存入的資產。也就是說，攻擊者將步驟1中原本要鎖倉1年的加密資產被提前取出，此時攻擊者不會獲得任何利息，因此步驟2中提供的資金也原路退回，并且MPHMinter會銷毀在步驟1中鑄造的所有MPH代幣。值得注意的是，在第2步中所鑄的MPH代幣并沒有被銷毀。攻擊者利用這點，以0成本獲得了步驟2所鑄造的價值10萬美元的MPH代幣。

通過重復操作這三個步驟，攻擊者鑄造了價值10萬美元的MPH代幣，并將其存入UniswapV2:MPH4池中。利用另一漏洞僥幸逃過一劫

事實上，MPHMinter合約還有一個漏洞，而開發者利用此漏洞僥幸逃過一劫，使得此次攻擊暫未造成任何經濟損失。首先，開發者調用takeBackDepositorReward將所獲MPH代幣從UniswapV2:MPH4轉移到govTreasury，該函數沒有設置門檻，任何人都可調用此函數將MPH代幣轉移到govTreasury中。

由于攻擊者將獲得的MPH代幣存入了UniswapV2:MPH4池子當中，而88mph項目方自己掏空了該池子，然后做了快照，因此暫未造成任何經濟損失。

PeckShield相關負責人表示：“黑客們的攻擊可能會毀滅或‘殺死’一個項目，DeFi們不要存在僥幸心理，應該做好充分的預防措施。如果對此不了解，應該找專業的審計機構對代碼進行徹底地審計和研究，防范各種可能發生的風險。”開發者編寫的每一段代碼，就如同工業生產中的螺絲釘一般，即使很微小，卻與DeFi行業的興衰成敗緊密相連。DeFi的生態仍處于早期發展階段，但區塊鏈的核心價值在于普世的信任，如果DeFi們仍一味追求快速上線主網，忽視代碼的審計安全，最終只能將社區成員的信任消磨殆盡，成為沒有靈魂的軀殼。

Tags：MPHEFIDEFDEFITriumphXNRGY DefiDefina FinanceDeFiChain

以太坊價格