宇宙链 宇宙链
Ctrl+D收藏宇宙链
首页 > ADA > 正文

Alpha Finance被盗3750万美元事件回顾 黑客掌握了内部信息

作者:

时间:1900/1/1 0:00:00

AlphaFinance被盗3750万美元事件回顾黑客掌握了内部信息

巴比特资讯

刚刚

16

DeFi的黑暗艺术仍然是最有利可图的。

下面是我们至今遇到过最具戏剧性的故事之一。

一个虚假魔术,混乱及指控的故事,导致了迄今为止最大的DeFi黑客事件。

大约有3750万美元资金在一起复杂的DeFi案中被盗,这次攻击利用了多笔交易来突袭AlphaFinance的金库,同时让很多人相信是Cream的铁金库受到了影响。

这起谋杀案发生在一个有镜子的大厅里,DeFi协议日益交织的性质,加上攻击的复杂性,使得社区对谁是真正的受害者,以及谁该负责赔偿感到困惑。

攻击者的合约导致Homora代码“相信”他们的恶意合约是他们自己的,目的是操纵系统中的内部债务数量。

这是协议和攻击者之间的一场私人战斗。被利用的合约尚未被公布,也未提供给用户,这意味着他们没有受到直接影响。我们还没有看到过这样一个明目张胆的内部作案,AlphaFinance很快指出,他们找到了一个“主要嫌疑人”。

如果合约还没有准备好,为什么还要部署在主网上?

在混乱中,大玩家迅速采取行动来保护自己的资本。SBF从CreamFinance中提取了价值4亿美元的FTT,三箭资本则向币安发送了价值300多万美元的ALPHA代币,其唯一目的可能是出售掉它们。

基于IPFS搭建的去中心化前端Dappnet已推出Alpha版本:5月9日消息,基于IPFS搭建的去中心化前端Dappnet已推出Alpha版本,支持Chrome、Firefox和Brave浏览器,同时完全开源,用户可在macOS上通过它访问Curve、ENS、1inch和其它部署到.eth域名的网站,且永远不会被审查或关闭。[2023/5/9 14:51:24]

与这次攻击相关的所有代币的价值均出现了下降。

AlphaHomora治理令牌ALPHA从2.25美元跌至1.78美元。

IronBank治理代币CREAM从288.32美元跌至193.51美元。

AAVE,其提供了这次攻击所需的闪电贷功能,它的治理代币从当天的518美元跌至492美元的低点。

然而,代币定价并不是这个故事中最有趣的方面。

AlphaFinance团队发布了一篇出色的调查报告,而他们的发现是惊人的。我们联合调查的结果表明,腐败的程度比预期的要严重得多。

AlphaFinance是否会公开他们的指控还有待观察,但他们最初关于有主要嫌疑人的声明表明,影响正在到来。

从官方调查报告来看,我们可以看出,攻击者需要知道以下信息才能实施攻击:

HomoraBankv2为即将发布的版本部署了一个sUSD池子,这一版本既没有在UI上提供,也没有公开发布。

波卡生态Bifrost发布插槽流动性协议SALP解决方案:据官方消息,波卡生态质押衍生品协议Bifrost发布Polkadot/Kusama插槽流动性协议SALP解决方案,通过生成衍生品的方式来释放用户参与平行链众贷(Crowdloan)中锁定的KSM/DOT,SALP协议将大幅度提升众贷参与者的资金利用率,提高用户参与插槽竞拍积极性,同时增加KSM/DOT在平行链插槽竞拍中的锁仓量。

据悉,Bifrost SALP协议已经与多个项目达成潜在合作关系,也将在Bifrost即将公布的Kusama和Polkadot平行链插槽竞拍计划中首次得到应用。[2021/4/21 20:44:18]

sUSD借贷池中没有流动性,因此攻击者可以完全操纵和夸大总债务金额和总债务份额;

借用函数计算中存在舍入错误计算,仅当攻击者是唯一借用者时才会产生影响;

resolveReserve函数可以在不增加totalDebtShare的情况下增加totalDebt,而实际上任何人都可以调用用于将收入收集到储备池的函数;

HomoraBankv2接受任何自定义spell,只要不变量检查出collateral>borrow;

在这么多用户的注视下,抢劫者留下了清晰的线索,在罕见的反击行动中,受害者将袭击者挑了出来。

上述要求证明,实施这一攻击需要内幕信息。然而,由于涉及协议和审计公司的范围,内幕人士可能有多个可能。

Alpaca Finance总锁仓量近3000万美元,即将进入奖励期:Alpaca Finance发推称,总锁仓量(TVL)接近3000万美元,大概8个小时后将进入进入奖励期。

据此前报道,Alpaca Finance在币安智能链上部署。官方表示,Alpaca Finance希望通过杠杆挖矿收益为BSC社区提供价值。[2021/2/28 18:00:53]

rekt不再是在做指控的生意,但我们期待着看到AlphaFinance如何处理这种情况。

以下是AlphaFinance表述的经过:

攻击者制造了一个邪恶的spellhttps://etherscan.io/tx/0x2b419173c1f116e94e43afed15a46e3b3a109e118aba166fcca0ba583f686d23

攻击者将ETH交换成UNI,并将ETH+UNI提供给Uniswap池子。在同一笔交易中,在Uniswap上交换ETH->sUSD,并将sUSD存入Cream的IronBankhttps://etherscan.io/tx/0x4441eefe434fbef9d9b3acb169e35eb7b3958763b74c5617b39034decd4dd3ad

使用邪恶的spell调用execute到HomoraBankV2,执行:借用1000e18sUSD,将UNI-WETHLP存到WERC20,并在此过程中用作抵押品,攻击者拥有1000e18sUSD债务份额https://etherscan.io/tx/0xcc57ac77dc3953de7832162ea4cd925970e064ead3f6861ee40076aca8e7e571

Moonbeam Network推出测试网最新版本Moonbase Alpha v4:12月14日,智能合约平台Moonbeam Network宣布已推出测试网最新版本Moonbase Alpha v4。此版本引入了新功能,允许多个收集者访问网络以增强网络弹性和安全性。[2020/12/16 15:19:14]

再次使用邪恶spell调用execute到HomoraBankV2,执行:偿还100000098548938710983sUSD,导致偿还份额比总份额少1。结果,攻击者现在有1minisUSD债务和1份债务份额。https://etherscan.io/tx/0xf31ee9d9e83db3592601b854fe4f8b872cecd0ea2a3247c475eea8062a20dd41

调用sUSD银行的resolveReserve,产生19709787742196债务,而totalShare仍为1。当前状态:totalDebt=19709787742197,而totalShare=1https://etherscan.io/tx/0x98f623af655f1e27e1c04ffe0bc8c9bbdb35d39999913bedfe712d4058c67c0e;

再次使用邪恶spell调用execute到HomoraBankV2,执行:借入19709787742196美元并转移给攻击者。每次借入都比totalDebt值小1,导致相应的借入份额=0,因此协议将其视为无债务借入。在交易结束时,攻击者向Cream的IronBank存入19.54sUSD。https://etherscan.io/tx/0x2e387620bb31c067efc878346742637d650843210596e770d4e2d601de5409e3

AlphaPoint完成560万美元过桥融资 Galaxy Digital Ventures再次注资:加密基础设施提供商AlphaPoint已经完成560万美元的过桥融资(bridge financing)。AlphaPoint首席执行官Igor Telyatnikov表示,这笔资金将用于扩展公司的白色标签交易软件业务,并提供新的交易功能。Telyatnikov透露,AlphaPoint去年的收入超过1000万美元,完成这轮融资“只花了几个月时间”,大部分资金来自要求不具名的新资方,同时,现有资方Galaxy Digital Ventures亦参与了此轮融资。据悉,2018年,AlphaPoint曾获Galaxy Digital Ventures 1500万美元融资,迄今为止AlphaPoint的总融资额达到了2390万美元。(The Block)[2020/3/5]

继续这个过程:再次使用邪恶的spell调用execute到HomoraBankV2,执行。在交易结束时,攻击者将1321sUSD存入Cream的IronBank,https://etherscan.io/tx/0x64de824a7aa339ff41b1487194ca634a9ce35a32c65f4e78eb3893cc183532a4;

通过Aave的闪电贷借入1,800,000USDC,然后将这1,800,000USDC换成1770757.5625447219047906sUSD,并存入Cream以使攻击者有足够的流动资金使用自定义spell借款,继续将sUSD借款翻番,从1322.70sUSD增加到677223.15sUSD。将1353123.59sUSD换成1374960.72USDC,从Cream借入426659.27USDChttps://etherscan.io/tx/0x7eb2436eedd39c8865fcc1e51ae4a245e89765f4c64a3200c623f676b3912f9

重复步骤8,这次金额大约是1000万USDC,https://etherscan.io/tx/0xd7a91172c3fd09acb75a9447189e1178ae70517698f249b84062681f43f0e26e;

重复1000万USDC,https://etherscan.io/tx/0xacec6ddb7db4baa66c0fb6289c25a833d93d2d9eb4fbe9a8d8495e5bfa24ba57

借款13244.63WETH+360万USDC+560万USDT+426万DAI,向Aave供应稳定币,向Curvea3Crv池子供应aDAI、aUSDT以及aUSDC,https://etherscan.io/tx/0x745ddedf268f60ea4a038991d46b33b7a1d4e5a9ff2767cdba2d3af69f43eb1b

将a3CrvLP代币添加到Curve的流动性gaugehttps://etherscan.io/tx/0xc60bc6ab561af2a19ebc9e57b44b21774e489bb07f75cb367d69841b372fe896

其余的交易将资金发送到TornadoCash以及GitCoinGrants,其中有1000ETH被发送到Cream和Alpha的部署者地址。

这个故事很独特,也令人生疑。

当涉及到白帽子/黑帽子的活动时,我们总是期待看到角色转换,但是我们很少看到受害者如此清楚地指责。

几周前促成Yearn和AlphaHomora合作的AndreCronje在谈到这次攻击时写道:

“花点时间研究了这次攻击,9笔交易,4种不同的操纵,其中一种包括精确的债务计算,这需要研究团队花费数小时才能弄清楚,Alpha立即采取了措施来缓解漏洞问题,在发现该问题后的几分钟内就解决了它。”

而Banteg的回复是:

“这个事件绝对是疯狂的,不可能有人随便看看合约,尤其是那些未经宣布的东西,就能发现这一点。”

也许这会导致另一起Yearn收购案,Cronje的名字在调查报告中被提到了4次,而且这个模式看起来确实很熟悉。。。

匿名黑客的时代还能持续多久?

由于可能的嫌疑犯名单非常小,因此更容易排除和追踪潜在的攻击者,在这种情况下,名单范围甚至比平常更小。

在处理代码时,“Don’ttrust,verify”是一句极好的口号,但它并不能阻止日益增长的社会偏执症。我们正经历一个加密货币和DeFi前所未有的增长时期,在这个时期,不工作的成本是非常高的。DeFi开发者的精神负担与日俱增。

帝国是建立在代码行之上的,金融的未来就在我们眼前。

开发人员陷入了竞争,而腐败的内部人员则帮助黑客在地下工作,在他们的基础上挖洞。

当一座塔倒塌时,其他的塔都会看着并学习。在尘埃落定之前,人群已经开始前进,而坚韧的的团队会重返赛场,以寻求更强的实力。

在不可避免的错误导致他们的匿名斗篷掉下之前,他们还能维持多长时间?

注:原文来自rekt

网络攻击

DeFi

文章作者:洒脱喜

我要纠错

声明:本文由入驻金色财经的作者撰写,观点仅代表作者本人,绝不代表金色财经赞同其观点或证实其描述。

提示:投资有风险,入市须谨慎。本资讯不作为投资理财建议。

金色财经>区块链>AlphaFinance被盗3750万美元事件回顾黑客掌握了内部信息

标签:ALPUSDPHAALPHAALPH币Aave SUSDELEPHANT价格AlphaRush AI

ADA热门资讯
“疯狂带货”之余 马斯克买了30亿美元狗狗币?

神秘玩家控制着价值30亿美元的360亿个狗狗币。网友意外发现,神秘人的部分交易可以被转录为二进制代码,而代码显示出的其中一组数字,正是马斯克的生日——1971年6月28日.

1900/1/1 0:00:00
如何读懂区块链技术?“小飞象算法”有何过人之处?

近日,中国科学院软件研究所张振峰团队联合美国新泽西理工学院唐强团队,在区块链核心技术的拜占庭容错(BFT)共识研究中取得重要突破.

1900/1/1 0:00:00
金色晚报 | 2月8日晚间重要动态一览

12:00-21:30关键词:芝商所、21SharesAG、DOGE、超级碗、第九城市1.1月灰度比特币认购量为新挖出比特币数量近1.5倍2.CoverProtocol发起新提案:建议将COVER添加回yPIE中3.

1900/1/1 0:00:00
国际清算银行发布全球央行数字货币调查:86%央行开始探索,金融包容性是重中之重

本文原发于,点滴科技资讯,译者:刘斌,中国自贸区研究院金融研究室主任国际清算银行:大部分散户投资者在比特币2万美元时入场:11月16日消息,据国际清算银行(BIS)发布的最新工作文件显示.

1900/1/1 0:00:00
比特币安全公司Casa获400万美元种子轮融资 Avon Ventures领投

据TheBlock2月3日报道,加密货币托管公司Casa宣布,在富达投资旗下专注于区块链的AvonVentures牵头的种子轮融资中筹集了400万美元.

1900/1/1 0:00:00
比特币首次逼近5万美元,加密货币或成主流资产类别

来源:参考消息网 外媒称,比特币9日首次逼近5万美元,而美元则出现下跌。据法新社纽约2月9日报道,8日,比特币价格一度飙升至创纪录的48215.83美元,这是由于埃隆·马斯克的特斯拉公司在这种加密货币上投入15亿美元消息的刺激.

1900/1/1 0:00:00