风险提示:请理性看待区块链,树立正确的货币观念和投资理念,不要盲目跟风投资,本站内容不构成投资建议,请谨慎对待。 免责声明:本站所发布文章仅代表个人观点,与CoinVoice官方立场无关

yDAI受创,Curve“喜”收意外之财

PeckShield
2021年02月05日

两级反转?黑客攻击 yDAI 保险库后,Curve 坐收渔翁之利。

北京时间 2 月 5 日,Yearn Finance 发推文表示 v1 yDAI 保险库遭到攻击。

Yearn Finance 核心开发者 @banteg 表示:“保险库被利用,攻击者获得 280 万美元,保险库损失 1100 万美元。在我们调查期间,v1 DAI、TUSD、USDCUSDT 保险库的策略存款将禁用。”

PeckShield (派盾)通过追踪和分析发现,此次攻击与此前安全研究员 Wen-Ding Li (李文鼎)所披露的在 Yearn.finance 的 TUSD Vault 上发生的快速贷款攻击漏洞相似。 

yDAI受创,Curve“喜”收意外之财

首先,攻击者从 dYdXAaveV2 借出闪电贷;

随后,攻击者利用所借资产通过对 3pool 的存取操作导致其中代币不平衡;

接下来,攻击者将 DAI 存放至 yDAI 保险库中,触发继续投资到受影响的策略投资中,恶化了 3pool 中不平衡交易的状态,攻击者立即从恶化的不平衡状态中获利;

攻击者重复利用上述步骤并且避免触发 0.5% 的滑点控制,最终偿完一开始的闪电贷,造成 yDAI 保险库损失 1100 万美元。

值得注意的是,受影响的策略有执行滑点控制,但目前没有提币费用(原本为 0.5% 的提币费),这使得漏洞有利可图。为了避免触发滑点控制,攻击者反复利用上述步骤,确保攻击成功。攻击发生后,Yearn Finance 立即禁用保险库策略。

yDAI受创,Curve“喜”收意外之财

做遏制 DeFi 借贷波动利率 “无形的手”?Yearn Finance 保险库还不够保险。

2020 年 9 月底 Yearn Finance 的开发人员就曾披露修补了可能会使 yDAI,yTUSD 和 yUSD 保险库的资金面临风险的漏洞。11 月 TUSD Vault 上出现的快速贷款又出现同类攻击漏洞后,所幸迅速修复。多次修修补补后,仍未逃过一击。

PeckShield(派盾)安全公司多次提醒,项目方不仅要将代码做到极致,还要防患于未然,一旦 有 DeFi 攻击事件发生,就要自查代码,及时查缺补漏。

截至目前,Yearn Finance 核心开发者 banteg 表示,黑客已经窃取了 51.3 万枚 DAI 和 170 万美元的 USDT,其余的以 CRV 代币的形式存在。

Aave 创始人 Stani Kulechov 则表示,这次攻击包含一个复杂的漏洞,涉及多个 DeFi 平台的 160 多笔交易,花费了逾 5000 美元的 Gas 费用。

yDAI受创,Curve“喜”收意外之财

风投投资者 Julien Thevenard 指出,从 vault 被盗的资金中,有超过 300 万美元被 DeFi 贷款平台 Curve 上的流动性提供商接收。 


声明:本内容为作者独立观点,不代表 CoinVoice 立场,且不构成投资建议,请谨慎对待,如需报道或加入交流群,请联系微信:VOICE-V。

评论0条

PeckShield

简介:全球顶尖的区块链安全公司

专栏

更多>>