注:北京时间11月15日凌晨,去中心化金融协议ValueDeFi遭遇闪电贷攻击,攻击者通过复杂的方式从Value协议的金库中转移走了大约700万美元,随后归还了200万美元,并附上了一条带有嘲讽意味的信息:“你们真的懂闪电贷吗?”,而在攻击发生前一日,ValueDeFi公开宣称自己是DeFi领域最安全的协议,并且能够抵抗闪电贷攻击。
原文来自rekt,作者对这次攻击进行了分析。
他们真的理解闪电贷吗?
声誉的价值是不稳定的,谦虚能够带来稳定,而吹嘘太多,最终只会搞砸。
ValueDeFi今天因为闪电贷攻击被黑了700万美元,这又是一次关于闪电贷的惨痛教训。
Circle推出以太坊、Avalanche跨链USDC转账协议:金色财经报道,Circle 宣布已经启动了一个主网协议,允许用户在以太坊和 Avalanche 之间转移 USDC。Circle 团队在公告中表示,希望 CCTP 能够解决 Web3 生态碎片化的问题,许多最大的跨链协议已经承诺在未来使用 CCTP,包括 Celer、Hyperlane、LayerZero、LI.FI、MetaMask、Wormhole 等。[2023/4/26 14:28:51]
黑客攻击前的代币价格-2.73美元
黑客攻击后的代币价格-1.87美元
让人啼笑皆非的是,在黑客攻击前一天,项目方发布了这样一条推文:
知名旅游服务平台Travala上线TRX和USDD支付方式:8月10日消息,知名区块链旅游服务平台Travala.com,在其官方推特发文认可USDD的稳定性,并强调在Travala上已经可以使用TRX和USDD作为支付方式。随后TRON DAO转发并确认了该消息,并表示其一直在拓展落地应用。
据悉,Travala.com成立于2017年,是基于区块链技术的旅行预订平台,目前该平台提供超过220万处房产,覆盖230多个国家和地区的超过9万个目的地。[2022/8/10 12:15:56]
尽管ValueDeFi团队大胆宣称自己的协议很安全,但他们似乎并不知道提款不仅可以通过主合约进行,还可以通过代理从金库合约中提取。
ValueDeFi使用了Curve现货价格作为预言机。
而攻击的详细步骤如下:
无许可开源协议Alkimiya今日上线Avalanche主网:3月26日消息,面向共识资本市场的无许可开源协议Alkimiya宣布今日上线Avalanche主网。据介绍,Alkimiya由两部分组成:Silica是区块空间生产者发行的float-to-fixed swap;HashVault是打包Silica合约并将基础现金流重组至各种金融产品的vault。
Alkimiya平台上的卖家可以将波动的未来收入锁定在固定的预付款上。这使他们能够更好地管理质押/挖矿操作中的风险。买家可以直接从区块空间生产中获得可持续的收益来源——此前只有矿工/验证者才能获得这种收益。[2022/3/26 14:19:25]
波场TRON基金会和Valkyrie推出Valkyrie 波场TRON信托基金:据官方消息,波场TRON基金会同资产管理公司ValkyrieInvestments正式推出Valkyrie波场TRON信托基金。据悉,Valkyrie波场TRON信托基金是美国针对波场加密生态系统的机构基金,基金成立初始规模超过5000万美元,并计划2022年于美国申请上市。
波场TRON创始人孙宇晨表示:“波场TRON成立的初衷是让互联网重新去中心化。作为波场TRON区块链的layer-1代币,TRX将持续为波场生态赋能。 波场基金的发行将是TRX全球战略格局中最初的一步, 即將宣布的一系列产品將极大促进波场TRON与金融市场的对接。”[2021/9/17 23:33:19]
操纵发生在第5步和第6步。
第七步的取款使用了错误的Curve函数进行数学运算;
功劳来自@emilianobonassi
功劳来自@FrankResearcher
15:24-这次攻击选择了对ValueDeFi团队非常不利的时间点,时间是在他们要开始一次AMA活动的20分钟前。
在15:41,一名用户提问为什么协议锁仓值出现了下降,当天早些时候,ValueDeFi锁仓值一度超过了1100万美元。
到了15:49,人们的担忧越来越大,而协议团队成员则告知大家这是一个UI漏洞。
然后在15:49,有人在聊天室放出了etherscan链接。
价值700万美元的ValueDeFi金库资金被转移,之后攻击者归还了200万美元,并附上了下面这样一段话:
“你们真的理解闪电贷?”
在16:00,就在AMA即将开始的时候,StaniKulechov发布了以下这条推文,告知了大家发生了什么。
同时,在AMA活动中;
Value团队在16:05的时候,在Discord聊天室承认了这次攻击,而AMA的问题持续了40分钟,讨论的都是无关主题,直到……
$FARM、$AKRO以及$VALUE都成为了闪电贷的受害者,它们因为弱协议而遭到了严厉的教训,并且攻击者都通过返回一些金额来表达一些“善意”。
这些攻击是想要教我们什么吗?
闪电贷在DeFi领域是一个有争议的话题,近几个月来,它们一直是很多攻击及漏洞的主要原因,但是可以说,闪电贷只是在加速我们的学习过程,并有助于消除薄弱的协议。
如果没有闪电贷,未来也可能会有“鲸鱼”能够这样做,我们最好就在去中心化金融的起源阶段经历这个过程,因为准备冒险的人每天都在试验、尝试和发布新产品。
闪电贷是来教导那些冒进者的,告诉他们为何要谦卑,它们处在DeFi的顶点,这在其他任何地方都是不可能的,闪电贷是DeFi这项技术带来的新功能的完美例子。
这是DeFi的一个特性,而不是对代码的利用。
最强大的协议不会受这些攻击的影响,有些甚至能够从中受益。
可以说,闪电贷强行提高了DeFi开发者的门槛。
在新标准得到满足之前,人们和协议会遭到攻击,这将是痛苦的,而它也将是公开的,但正因为如此,我们需要学习。DeFi将变得更强,我们将为未来的用户开发更好的实践、更强的代码以及更安全的环境。
郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。