CertiK：Yearn.Finance惊爆漏洞，DeFi再遭打击，一文带你探明事件始末

2月5日消息，据DeBank数据显示，DeFi真实锁仓量突破470亿美元，创下历史新高，本文撰写时为478.3亿美元，约等于3095亿人民币。

2020年被称为“DeFi元年”，DeFi在Compound首创的“流动性挖矿”推动下获得了历史性的大爆发，然而其安全风险居高不下。北京时间2月5日凌晨，CertiK安全技术团队发现DeFi项目Yearn.Finance发生攻击事件，攻击总损失高达约7100万人民币，黑客从中获利约1800万人民币。黑客通过闪电贷获得攻击启动资金，利用Yearn项目代码漏洞，完成整个攻击。攻击者获利数目截图

Balancer提议\"许可套利\"以拯救Inverse Finance被冻结的加密货币:金色财经报道，DeFi协议骨干正在协调，以拯救在2023年最大黑客攻击中被冻结的约30万美元的加密货币。该加密货币的所有者Inverse Finance担心，一旦6月8日解冻，套利者正准备攫取这些加密货币。

根据Balancer管理部门的一个论坛帖子，周二概述的一个计划将看到自动做市商Balancer对其 \"bb-e-USD \"池执行 \"许可套利\"，\"在其他人能够得到它之前\"。3月中旬，当借贷平台Euler Finance向黑客损失2亿美元时，Balancer紧急冻结了这个资金池（后来黑客归还了资金）。

目前正在讨论中，该计划需要得到Balancer社区成员的批准，因为DeFi协议将不得不修改其机制。组织者计划在套利完成后对回收的代币的分配进行第二次投票。[2023/5/17 15:07:26]

此次攻击总计包括11笔利用漏洞获利交易以及3笔转换代币交易，交易列表如下：

Balancer回应“计划在Algorand上扩展”：未参与项目构建，仍致力于推出Balancer V2:基于以太坊的DeFi协议Balancer在推特上就“Balancer计划在Algorand上扩展”一事回应称：“我们想要明确的是，Balancer Labs向Algorand发放了5000美元的小额赠款以表支持，但Balancer Labs团队没有参与这个项目的开发。我们的注意力只集中在以太坊和即将发布的Balancer V2上。换言之，Balancer Labs并没有在Algorand上进行任何构建。相反，Reach（由Algorand基金会资助的区块链应用构建解决方案）正努力在Algorand上部署。我们仍在按照计划推进开发，Balancer Labs继续致力于推出V2。”此前外媒报道称Balancer计划在Algorand上扩展，基于Algorand的Balancer版本将由Algorand基金会资助的区块链应用构建解决方案Reach开发。Algorand首席运营官W. Sean Ford表示，一旦在Algorand区块链上启动（预计将在2021年第三季度），Balancer用户将能够与任何Algorand标准资产（ASA）建立流动性池或交易对。[2021/4/7 19:54:16]

除开3笔转换代币交易之外，剩余11笔获利交易均针对同一个漏洞，使用相同的攻击方式完成的获利。攻击大致流程图如下：具体步骤如下：利用闪电贷筹措攻击所需初始资金。

Balancer前端短时屏蔽YFII流动性挖矿页面，团队已道歉:据YFII社群表示，Balancer前端代码曾短时屏蔽YFII的流动性挖矿页面，代码显示将其定义为「ScamPool（欺诈资金池）」。据了解，该情况不影响资金安全，但充提过程会变得十分繁琐。且屏蔽YFII流动性挖矿页面后，意味着新用户的进入将会变得十分困难。不过截止发稿时，Balancer官方已道歉并重新开发页面。

据社群透露，YFII为中国团队开发项目。由DeFi协议yearn.finance分叉而来，其分叉原因是由yearn.finance社区治理YIP-8提出了增发提案，对每个矿池的每周增发量进行减半。但YIP-8提案因最终参与投票数量不足未获得通过，因此对该提案赞成的社区成员发起了硬分叉，并创建了与YFI基本相同的新项目名为YFII。

Balancer前后端开发主管Timur Badretdinov表示是自己的操作失误导致了YFII池子出现被屏蔽问题，目前已重新开放了YFII的流动性挖矿页面，他对此带来的影响表示抱歉。（BlockBeats）[2020/7/29]

利用Yearn.Finance合约中漏洞，反复将DAI与USDT从3crv中存入和取出操作，目的是获得更多的3Crv代币。这些代币在随后的3笔转换代币交易中转换为了USDT与DAI稳定币。完成5次重复的DAI与USDT从3crv中存取操作后，偿还闪电贷。

CertiK安全技术团队当前正在审查Yearn.Finance中存在的漏洞，更多漏洞细节将在后续分析中进行详解。

总结

加密世界的交互往往都伴随着一定的风险，而投资于安全的项目会收到更加长远的回报。

而高收益必定伴随着高风险，此次漏洞的爆发同样是DeFi领域的一个警示。

标签：NCEANCCERALANCE价格SBANC价格cerclestockservicepgala币割韭菜

Luna热门资讯