2023年4月13日，据Beosin-EagleEye态势感知平台消息，YearnFinance的yusdt合约遭受黑客闪电贷攻击，黑客获利超1000万美元。
https://eagleeye.beosin.com/RiskTrxDetail/0xd55e43c1602b28d4fd4667ee445d570c8f298f5401cf04e62ec329759ecda95d
关于本次事件，Beosin安全团队在白天已将简析以快讯的形式分享给大家，现在我们再将长文分享如下：
事件相关信息
攻击交易
0xd55e43c1602b28d4fd4667ee445d570c8f298f5401cf04e62ec329759ecda95d
0x8db0ef33024c47200d47d8e97b0fcfc4b51de1820dfb4e911f0e3fb0a4053138
TOP Network CMO：老牌公链可能被新生公链代替:在本期金色沙龙上，TOP Network CMO Noah Wang指出，公链赛道一定会面临洗牌，属于老牌公链的辉煌已经过去，也一定会有新生的公链黑马来代替它们的地位。他解释说，以太坊、EOS这些公链发展了这么多年，并没有真正实现应用的落地，而目前一些新兴的公链无论是在技术上还是落地潜力都不输以太坊，最关键的是老牌公链的技术框架以及生态布局基本已经定型，要转变赛道是非常困难的，这也是为什么以太坊2.0迟迟没能推出的原因之一。
同时，他也补充说，这并不意味着老牌公链一定会死掉，新生公链一定能成功，具体还是要看这个公链项目是否真的有价值，是否真的能够落地。特别是在当前的熊市环境下，一定会淘汰一大批只有白皮书的区块链项目。但是对于那些真正有技术，有落地潜力的公链来说反而是机会，能够让人们看到这些项目的真正价值。[2020/3/18]
0xee6ac7e16ec8cb0a70e6bae058597b11ec2c764601b4cb024dec28d766fe88b2
攻击者地址
0x5bac20beef31d0eccb369a33514831ed8e9cdfe0
动态 | 印度老牌工商管理学院计划推出区块链人才教育计划:据AMBcrypto报道，印度老牌工商管理学院IIM Calcutta，正计划在2019年5月推行新的加密货币教育计划，该计划旨在弥补印度金融技术行业面临的人才短缺问题。[2019/3/1]
0x16Af29b7eFbf019ef30aae9023A5140c012374A5
攻击合约
0x8102ae88c617deb2a5471cac90418da4ccd0579e
攻击流程
下面以
0xd55e43c1602b28d4fd4667ee445d570c8f298f5401cf04e62ec329759ecda95d为例进行分析。
1.攻击者首先通过闪电贷借出了500万Maker:DaiStablecoin、500万USD以及200万Tether:USDTStablecoin作为攻击本金。
动态 | 最老牌的稳定币BitUSD已经不稳定 3 个月了:据链闻消息，最老牌的稳定币从去年 11 月开始已经出现了价格大幅背离美元价格的情况，直到现在情况都没有改善。去年 12 月中，BitUSD 的价格一度跌至 0.7 美元左右，目前 BitUSD 的价格低于 0.8 美元。于此同时，BitUSD 的流通量也出现了大幅下滑，去年 11 月前，BitUSD 的发行量曾在 1100 万美元左右，目前仅为当时一半。[2019/2/15]
2.攻击者调用aave池子合约的repay函数偿还其他人的欠款，这一步是为了将aave池子抵押收益降低，从而降低yearn:yUSDTToken合约中aave池子的优先级。
3.接着攻击者调用yearn:yUSDTToken合约的deposit函数质押了90万Tether:USDTStablecoin，该函数会根据质押量为调用者铸相关数量的yUSDT，计算方式与池子中各种代币余额有关，如下图，此时为攻击者铸了82万的yUSDT。
动态 | 加州老牌金融公司IDC与数字资产交易所合作:据cryptoglobe报道，总部位于加利福尼亚州的外汇分销平台和在线交易平台提供商Integral Development Corp.（IDC）已宣布将与数字资产交易平台Mint Exchange合作，以推出机构级别加密货币交换。[2018/11/16]
4.此时，合约中有90万Tether:USDTStablecoin与13万Aave:aUSDTTokenV1
老牌柯达“叛逆”了一把 “柯达币”融资今日启动:据第一财经报道，5月21日，柯达币项目发行商WENNDigital正式启动“未来代币简易协议”(融资项目，计划筹资5000万美元。WENNDigital CEO在当天接受采访时，阐述了“KODAKOne”将怎样利用区块链提供更高质量的服务，以及“柯达币”将有何用途。[2018/5/22]
5.接下来攻击者使用15万USD兑换了15万的bZxUSDCiToken，并将其发送给了yearn:yUSDTToken合约，此时，合约中有118万的资金，攻击者拥有90/103的份额，也就是能提取103万资金。
6.随后，攻击者调用yearn:yUSDTToken合约的withdraw函数提取质押资金，此时合约中仅有攻击者之前质押的90万Tether:USDTStablecoin、初始的13万Aave:aUSDTTokenV1以及攻击者转入的15万bZxUSDCiToken，而如果一个池子中代币不足的话，会按顺序提取后续池子的代币，此时攻击者将90万Tether:USDTStablecoin以及13万Aave:aUSDTTokenV1全部提取出来，经过本次操作，合约中仅有15万bZxUSDCiToken。
7.随后，攻击者调用yearn:yUSDTToken合约的rebalance函数，该函数会将当前池子的代币提取出来，并质押到另一个收益更高的池子中，由于第2步操作，合约会将USDT和USDC提取出来，添加到收益更高的池子中，但当前合约仅有bZxUSDCiToken，也只能提取出USDC，提取出来后将复投到其他USDT池子，此时复投将跳过。
8.攻击者向池子中转入1单位的Tether:USDTStablecoin，并再次调用yearn:yUSDTToken合约的deposit函数质押了1万Tether:USDTStablecoin，由于第7步的操作，合约已经将所有池子中的资金全部取出来了，并且没办法添加到新池子中，导致pool这个变量计算出来就是攻击者向其中打入的1，而作为除数的pool，将计算出一个巨大的值，向攻击者铸了1.25*10^15枚yUSDT。
9.最后，攻击者利用yUSDT将其他稳定币全部兑换出来并归还闪电贷。
漏洞分析
本次攻击主要利用了yUSDTToken合约配置错误，在进行rebalance重新选择池子的时候，仅使用了USDT作为添加数量，而USDC无法添加池子，从而导致了攻击者使用USDC将该合约所有USDT“消耗掉”后，池子余额变为了0，从而铸了大量的代币。
资金追踪
截止发文时，BeosinKYT反分析平台发现被盗资金1150万美元部分已经转移到Tornadocash，其余还存储在攻击者地址。
总结
针对本次事件，Beosin安全团队建议：初始化配置时进行严格检查。同时项目上线前建议选择专业的安全审计公司进行全面的安全审计，规避安全风险。
原文：《被盗超1000万美元，YearnFinance如何被黑客“盯上”？》
来源：panewslab
标签：USDUSDTSDTTOKENFDUSD币doge币怎么换成usdtUSDT币提到钱包有风控吗iOWN Token
来源：a16z?译：金色财经新兴技术会经历周期性的演变,加密货币领域也不例外,其中包括高活跃期和所谓的加密冬季。在我们现在的《加密行业年度报告》所标记的时期内,一个普通的观察者很容易忽视加密行业正在取得的快速进展.
1900/1/1 0:00:00前两周长沙出差,结识了一个很有意思的朋友,超维元宇宙的华群总。晚宴之时,我们坐隔壁桌,一开始是普普通通的常规社交尬聊,不知怎么就聊到区块链代币激励,我说：你看过那本《公司制的黄昏：区块链思维与数字化激励》吗？答：几年前书刚出来的时候,
1900/1/1 0:00:00近期,香港在拥抱Web3的进程中大动作频频,来自全世界的Web3Builder们都迫不及待的加入了此次盛会,分享新知表达观点的同时,也与新伙伴相识、与老伙计“奔现”.
1900/1/1 0:00:00原文作者：Darren,EverestVenturesGroup上海升级暂定于4月?13日进行,将首次允许验证者从信标链撤出以及提款。相关预期迭加,市场又一次将注意力聚焦于以太坊流动性.
1900/1/1 0:00:00原文作者：DanielLi,CoinVoiceLayer?1区块链Sui宣布其主网将于今年第二季度推出,并开启名为「WavetoMainnet」的一系列教育活动和内容,旨在主网上线前,让社区了解Sui协议的潜力.
1900/1/1 0:00:004月8日消息,蚂蚁集团旗下鲸探App上架首个可变化数字藏品“NBA季后赛球场盲盒”。该款藏品形态可基于NBA赛事结果变化升级,用户还可根据链上地址在“区块链信息查询”中查看持有藏品的变化信息.
1900/1/1 0:00:00
宇宙链