Gelato以白帽奇襲挽救用戶資金，處理Sorbet Finance漏洞與dYdX有何不同？_LAT:Dplatform Token

本文來自GelatoNetwork，原文作者：GelatoNetwork，由Odaily星球日報譯者Katie辜編譯。

安全事件頻發，12月22日，流動性管理協議VisorFinance就遭黑客攻擊。本月中旬，Gelato團隊被提醒在SorbetFinance使用的一個智能合約中存在一個嚴重的漏洞。該合約的設計目的是讓用戶只需使用一個代幣就可以從SorbetFinance進入和退出G-UNI礦池，而不是從一開始就需要提供兩個相等比例的代幣。

當晚，Gelato團隊成功執行了一次“白帽行動”，挽救了用戶的損失，總計約2600萬美元。這些資金被發送到一個安全的托管合約中，只有這些資金的原始所有者才能收回這些資金。

SorbetFinance、G-UNI或GelatoNetwork的其它智能合約或組件均未受到影響。特別是G-UNI礦池是安全的。

烈酒廠商百加得旗下手工釀酒廠“Angel’s Envy”進軍元宇宙:6月8日消息，全球最大的家族私有烈酒廠商百加得有限公司（Bacardi Limited）旗下一家位于美國肯塔基州的手工釀酒廠Angel’s Envy已經進軍元宇宙，這可能是烈酒首次進入該虛擬世界。

Angel’s Envy剛剛花費820萬美元完成了總部擴建工程。新總部已經在元宇宙進行復刻，并將舉辦一場活動來慶祝“National Bourbon Day”。從6月14日到20日，元宇宙中的粉絲們可以參加一系列挑戰，解鎖免費的NFT可穿戴裝備，并且還會得到出席證明協議代幣。（BeInCrypto）[2022/6/8 4:10:42]

對于那些尚未撤銷智能合約審批的用戶來說，關鍵的風險仍然存在。因此，我們強烈敦促與SorbetFinance礦池頁面進行交互的用戶在將任何代幣發送到他們的錢包之前，先撤銷他們的批準。

股權眾籌平臺AngelList即將推出支持USDC的基金:9月29日消息，連接種子期初創企業與天使投資人的硅谷線上融資平臺AngelList宣布即將推出支持USDC的基金，投資者可以通過USDC投資任何支持USDC的企業聯合組織（syndicate）或基金。同時，AngelList針對初創公司推出AngelListStack，能為初創公司做公司注冊、銀行業務、股權管理、籌款和招聘等工作。[2021/9/29 17:14:14]

截至12月20日歐洲中部時間12點，除66個地址外，所有地址都成功取消了他們的存款。我們將繼續積極監控并盡最大努力挽救受影響的錢包，但為了確保資金的最終安全，受影響的用戶必須自行撤銷對Sorbet的批準。

目前，Gelato團隊成功執行了另外35項白帽拯救交易，從面臨風險的錢包中又保護了100萬美元。除66名用戶外，所有用戶都尚未撤銷對Sorbet的批準。

以太坊智能合約自動執行工具Gelato即將發布GEL代幣:5月7日消息，以太坊智能合約自動執行工具GelatoNetwork宣布即將發布GEL代幣，GEL將具有治理和質押兩個關鍵功能。治理功能方面，代幣持有者能對GelatoDAO中的提案進行投票。另外，GelatoNetwork還計劃擴展到Polygon（原MaticNetwork）、幣安智能鏈等網絡上，以滿足自動化智能合約執行的需求。注：GelatoNetwork支持開發人員無需運行任何底層服務器基礎架構，自動執行用戶交易。去年9月份，GelatoNetwork完成120萬美元種子輪融資，IOSGVentures和GalaxyDigital領投。今年4月中旬，GelatoNetwork發布V2版本，新功能包括每個DApp都可以定義自己的自定義界面、無需代理合約等。[2021/5/7 21:33:28]

技術細節

現場 | AngelList創始人：加密貨幣已“幾乎”成為主流:據CoinTime現場報道，今日在舊金山區塊鏈周Epicenter大會上，AngelList創始人兼CEO Naval Ravikant在爐邊談話中表示，幾年間加密貨幣已“幾乎”成為主流，可以看到硅谷的頂級科技人才正在為加密貨幣世界工作，多中心化的共識已經開始形成，頂尖投資機構的嚴肅投資者已經開始入局加密貨幣世界。與此同時，我們要意識到，加密市場行情熱，但并不具有變革意義，而真正具有變革意義的是科技的創新，如共識機制的創新，同時也可以看到新的協議層，不同作用的通證日益出現，這是真正令人興奮的部分。投資只是“熱”，而科技創新才是本質的變革。[2018/10/9]

包含該漏洞的智能合約與12月10日發布的dYdX漏洞報告中披露的漏洞相似。多虧了這份報告和我們的線人，我們發現了Sorbet上的漏洞并在黑客利用它之前進行了修正。

dYdX的情況是被告知代理智能合約存在一個關鍵漏洞，該合約自11月24日以來一直在處理dYdX交易所的存款。dYdX團隊執行了一個白帽來拯救用戶資金，總計約200萬美元。這些資金被送到一個非托管的托管合約，只有這些資金的原始所有者可以取回它們。

我們敦促所有讀到這篇文章的Dapp開發者仔細檢查他們的智能合約，以防他們在智能合約層面上與DEX聚合器交互，以確保他們的系統沒有與我們類似的漏洞。

如何避開Bug

Gelato開發團隊非常清楚Solidity中的低級調用的危險性。這個bug本不應該出現在產品中，但它卻出現了。這表明我們在智能合約測試和審查過程中出現了一個嚴重的錯誤。這是Gelato存在兩年半以來的第一個安全漏洞，我們將通過維護和加強我們在未來所有智能合約發布中一貫的高標準，確保這將是最后一個漏洞。

與之前經過審計和實戰測試的版本相比，處于風險中的智能合約只包含一個小更改。這導致我們的智能合約開發團隊過早地將其發布，而沒有遵循我們通常遵循的嚴格的安全審查過程。

這一事件其實是可以避免的，我們已經采取了一些措施，以確保這樣的錯誤永遠不會再出現。

我們的“預防針”

我們堅持Web3的最高安全標準。通過這次事件，我們了解到，無論多么小的變化，無論一個合約有多少次經過實戰考驗的歷史，它都必須在投入使用之前進行徹底的審查和審計。

為避免此類漏洞再次發生，我們計劃實施以下安全措施:

對所有新合約或由多個團隊成員對這些合約的所有修改進行徹底的審查，無論修改多微小；

密切監控風險模式和之前報告的智能合約漏洞，如dYdX報告，在這個案例中，正是我們的漏洞；

評估新部署或合約修改的最壞情況，并設計應對措施；

創建bug獎勵機制，鼓勵外部開發人員在代碼公開之前發現代碼中的錯誤；

對已經投產幾個月沒有任何事故的智能合約進行持續的代碼審查；

在將新特性投入使用之前，使用我們集成的協議來檢查它們的集成安全性。

Bug獵人賞金

Gelato團隊非常感謝那個提醒注意這個bug的人。使團隊能夠迅速采取行動，幫助受影響的用戶挽回2600萬美元的損失。?

Gelato團隊將提出一個治理建議，向一路上幫助過我們的社區成員發放的bug獎勵。

償還被盜資金

我們成功地在白帽襲擊時挽救所有損失。然而，直到他們撤銷對SorbetFinance的批準之前，用戶的資金仍然很容易受到影響。盡管我們盡了最大的努力，并讓多個回收機器人持續運行，拯救那些處于風險中的資金，總金額約為744萬美元被惡意搜索者竊取，這些搜索者能夠在一開始的少量交易中搶先我們的機器人。從那時起，我們優化了我們的系統，并在大多數交易中擊敗了惡意搜索者。

Gelato團隊將創建一份治理提案，以全額補償這些損失，并由GEL持有人投票表決。由于可能出現的“假被盜”的情況，事件發生后的時間已經過去了，并且團隊已經竭盡全力通知了有風險的地址，我們將不再賠償12月20日下午13:00以后發生的任何損失。

盡管如此，我們將繼續運營多個白帽機器人。在截止日期之后成功拯救的資金，減去機器人運營商在營救交易中產生的礦工費后，將被退還給用戶。

總結

盡管存在漏洞，也未能遵守我們所追求的最高安全標準，但我們成功地實施了多次白帽攻擊，挽救了超過2700萬用戶的資金。Gelato團隊迅速地處理了漏洞，恢復機器人和批準撤銷用戶界面，Gelato團隊將繼續優化，為Web3生態系統帶來最好的Web3自動化工具。

Tags：GELATOELALATBAGELPlatonCoinVELADplatform Token

酷幣