CertiK：Yearn.finance新项目Eminence攻击事件漏洞分析

北京时间9月29日，CertiK安全研究团队发现Yearn.finance的新项目Eminence.finance出现异常交易。有三笔共计价值约1.09亿人民币的资金，被从Eminence智能合约中转出，地址为：0x5ade7ae8660293f2ebfcefaba91d141d72d221e8。CertiK安全研究团队认为该事件是攻击者使用脚本程序，通过闪电贷flashloan借得初始资金，利用Eminence项目中的联合曲线模型，反复购买出售EMN和eAAVE来获得收益。技术细节分析

Balancer生态收益治理平台Aura Finance发起部署至Optimism的治理投票:7月8日消息，Balancer生态收益治理平台Aura Finance发起部署至Optimism的治理投票，投票截止日期为7月10日2:00，一旦投票获得通过，跨链合约将部署至Optimism。

此前报道，6月份Aura Finance已上线Arbitrum。[2023/7/8 22:25:34]

以下分析：https://etherscan.io/tx/0x3503253131644dd9f52802d071de74e456570374d586ddd640159cf6fb9b8ad8为例子，该笔交易流程图如下:

CertiK：微软高危零日漏洞可执行任意代码，建议用户使用硬件钱包:金色财经报道，CertiK安全团队发现，近日，微软Office中一个被称为 \"Follina \"的零日漏洞（编号CVE-2022-30190）被发现。攻击者可使用微软的微软支持诊断工具（MSDT），从远程URL检索并执行恶意代码。微软Office的系列套件和使用MSDT的产品目前仍有可能受该零日漏洞的影响。

由于该漏洞允许攻击者绕过密码保护，通过这种方式，黑客能够查看并获得受害者的系统和个人信息。这个零日漏洞允许黑客进一步攻击，提升黑客在受害者系统里的权限，并获得对本地系统和运行进程的额外访问，包括目标用户的互联网浏览器和浏览器插件，如Metamask。CertiK安全团队建议，正确保护你的设备和个人信息。[2022/6/3 4:00:57]

在该笔交易中，攻击者首先通过Uniswap中的闪电贷服务借得1500万个DAI,然后全部购买EMN代币，共购得约1,383,650,487个EMN代币。其中一半EMN，共约691,825,243个EMN代币,通过OP0步骤用于购买eAAVE代币，共获得约572,431个eAAVE代币。到当前为止，攻击者共持有1,383,650,487-691,825,243=691,825,244个EMN和572,431个eAAVE代币。接下来攻击者的脚本继续执行了OP0,OP1,OP2,OP3,OP4共5个内部交易（InternalTransactions)，该5个内部交易产生的影响如下表：

区块链安全机构CertiK完成B+轮2400万美元融资:8月17日，CertiK宣布完成B+轮2400万美元融资。本轮融资由Tiger Global和高瓴创投共同领投，用以支持CertiK新产品Skynet Premium的发布。现今CertiK已进入增长阶段，继续扩大在区块链安全赛道的领先优势，一个月内完成两轮融资，30天内融资超过6000万美元。

此前CertiK于今年7月从顺为资本、Coatue Management和Coinbase Ventures处获得3700万美元B轮融资，为区块链安全赛道最大单笔融资。[2021/8/17 22:18:47]

HOGT-DEX生态已通过Certik代码审计:据官方消息，HOGT-DEX生态已通过美国Certik代码审计。

CertiK区块链网络安全公司，由耶鲁大学与哥伦比亚大学计算机学教授共同创立。旨在使用最严密和最彻底的网络与软件安全技术来识别并消除安全漏洞。截至目前，CertiK已进行了超过700次审计，审计了超过39.6万行代码，保护了超过300亿美元的资产免受损失。

HOGT是基于火币生态链的综合性DeFi生态服务平台，融合聚合收益、DEX、借贷等多板块业务，致力于建设DeFi全生态服务系统。[2021/6/9 23:23:24]

从OP4售出的DAI总数目为16,673,637，比攻击者通过闪电贷借得的DAI总数目1500万个要多出近170万。造成以上结果的原因是：在OP0使用EMN购买eAAVE的过程中，EminenceCurrency.sol智能合约第231行中claim函数被调用，随后第233行的_burn函数将用于交易的691,825,243个EMN进行了燃烧：

美国右翼媒体人Mike Cernovich发起10万美元比特币筹款活动:4月13日，美国右翼媒体人Mike Cernovich于推特发起10万美元的比特币筹款活动，以期望将其纪录片做成一个播客节目。据悉，这部纪录片的目的是揭露美国主流媒体的谎言，涉及新闻界对美国总统唐纳德·特朗普的猛烈攻击以及其他热点问题。（U.Today）[2020/4/13]

然而在下图_burn函数的定义中我们可以看到，仅仅只有EMN代币的数目被燃烧掉，而其对应的DAI数目并没有改变。这就造成了一个问题：EMN和DAI的比率由于EMN数目的减少，造成了DAI相对价格的降低，因此采用同样数目的EMN去购买DAI，可以获得的DAI数目更多。

因此，当OP0完成后，EMN数目对DAI数目比率下降。攻击者通过OP1将剩余的一般EMN兑换成DAI，由于此时DAI相对价格低，因此购入的DAI数目相比正常情况多。完成OP1后，攻击者将持有的eAAVE通过OP2,OP3兑换回EMN，然后兑换到DAI。最终，当进行OP4之前，攻击者持有的DAI数目会高于从Uniswap中借得的数目。至此，攻击者通过漏洞完成一次获利。攻击者在同一次交易中重复三次利用了该漏洞。每次到达OP4时，会将获利后总共的DAI再次利用，进行攻击行为。当完成全部三次后，攻击者偿还了Uniswap的借款，将该次交易获利发送至其地址：0x223034edbe95823c1160c16f26e3000315171ca9攻击者总计执行了3次交易，交易地址如下：第一次：0x3503253131644dd9f52802d071de74e456570374d586ddd640159cf6fb9b8ad8第二次：0x045b60411af18114f1986957a41296ba2a97ccff75a9b38af818800ea9da0b2a第三次：0x4f0f495dbcb58b452f268b9149a418524e43b13b55e780673c10b3b755340317分析总结

该事件是一个典型的由于逻辑设计与实际智能合约代码实现不符而造成安全漏洞的案例。而且项目上线前，尚未经过安全审计。对于该种类型漏洞，传统的测试方法与测试工具均无法检查出该种逻辑漏洞。因此，CertiK提出以下建议：当前DeFi项目热潮持续不减，很多项目为了抓住热点与机遇，在未经严格测试和审计的情况下便匆忙上线。这些项目中，大部分的漏洞是无法通过常见的测试方法和工具来发现的。只有寻找专业的审计专家进行严谨的数学模型证明，才可以发现该漏洞。安全审计现在已经是高质量DeFi项目的标配。若项目没有被审计，对于用户来说，投资行为则要格外慎重；对于项目方来说，则需要找专业并且声誉好的审计公司进行审计。若项目被审计过，则需尽量了解审计公司背景以及其审计报告中的各项指标，其中包括但不限于：安全审计的范围，方法，及结论合约是否有漏洞或者安全隐患？如果有，需要了解这些问题的严重程度及可能影响合约整体的代码质量审计公司的专业性和独立性

标签：CERCERTTIKcertikcere币最新CERT立方根PLASTIK币certik币价

酷币热门资讯