比特币价格·比特币行情
Ctrl+D收藏简单区块链

闪电贷攻击:曾经的 DeFi 之王YFI也未能幸免

作者:

时间:2021/2/7 15:25:50

引言:关于 DeFi 的安全问题,从 2020 年 2 月份到现在,损失数亿美元,各路专家已有无数文章来解析 DeFi 乐高的风险,直到现在这类问题依然没有引起开发者们的高度重视,在市场持续狂热以及锁仓规模不断推高的环境中,人们似乎已经忘了,那个深埋在狂欢大陆土地下的隐患,并没有消失......

曾经的 DeFi 之王 YFI 协议未能幸免

2021 年第一次闪电贷攻击事件,发生在了 2020 年的 DeFi 王者 —— Yearn Finance 协议身上,当然,这是偶然事件还是开年先拿王者开刀,来嘲讽 DeFi 的无能,我们暂且不论,也无从洞察“攻击者”的心境,这里,我们来看一下发生了什么。

根据慢雾科技的情报,遭受攻击的是 Yearn Finance 协议的 DAI 策略池,具体情况如下:

1. 攻击者首先从 dYdX 和 AAVE 中使用闪电贷借出大量的 ETH

2. 攻击者使用从第 1 步借出的 ETH 在 Compound 中借出 DAI 和 USDC

3. 攻击者将第 2 步中的所有 USDC 和 大部分的 DAI 存入到 Curve DAI/USDC/USDT 池中,这个时候由于攻击者存入流动性巨大,其实已经控制 Curve DAI/USDC/USDT 的大部分流动性

4. 攻击者从 Curve 池中取出一定量的 USDT,使 DAI/USDT/USDC 的比例失衡,及 DAI/ (USDT&USDC) 贬值

5. 攻击者第 3 步将剩余的 DAI 充值进 yearn DAI 策略池中,接着调用 yearn DAI 策略池的 earn 函数,将充值的 DAI 以失衡的比例转入 Curve DAI/USDT/USDC 池中,同时 yearn DAI 策略池将获得一定量的 3CRV 代币

6. 攻击者将第 4 步取走的 USDT 重新存入 Curve DAI/USDT/USDC 池中,使 DAI/USDT/USDC 的比例恢复

7. 攻击者触发 yearn DAI 策略池的 withdraw 函数,由于 yearn DAI 策略池存入时用的是失衡的比例,现在使用正常的比例提现,DAI在池中的占比提升,导致同等数量的 3CRV 代币能取回的 DAI 的数量变少。这部分少取回的代币留在了 Curve DAI/USDC/USDT 池中

8. 由于第 3 步中攻击者已经持有了 Curve DAI/USDC/USDT 池中大部分的流动性,导致 yearn DAI 策略池未能取回的 DAI 将大部分分给了攻击者

9. 重复上述 3-8 步骤 5 次,并归还闪电贷,完成获利

攻击者利用闪电贷进行这一循环套利,使得 Yearn Finance 损失高达千万美元!

根源不是闪电贷,而是脆弱的价格机制

YFI 和 Curve 之间的组合,利用 LP 的不同净值来计算份额,通过池子里的份额来决定价格,这是典型的价格操控!

我们把现在的各 DeFi 协议当作是各个国家,每个国家制定不同的政策规则,商人通过政策规则之间的组合,寻找突破口,来获取利差。这是光明正大的赚取合理收益, 无法责怪攻击者,因为,你的机制告诉了别人,怎么来操控我的价格进行套利。

关于闪电贷攻击的问题,我们已经阐述过多次,《解读 | Compound 遭受价格预言机操纵攻击事件始末》,这篇文章里有详细描述。

价格操控的背后所暴露的问题,才是我们更应该去思考和研究的方向。

现如今的 DeFi 协议开发者,往往把快速、高效放在第一位,对区块链的本质充耳不闻,大家都求快,不愿去解决本质问题的根源。因为几乎所有人都正在这样做,睁一只眼闭一只眼。

比特币的设计,是让所有节点一起对正在广播的交易进行验证,所有人都同意的广播,这笔交易才作数。其本身就是一个冗余的复杂系统,比特币并非是为了在“可用性”方面做出创新,而是在“可信性”方面给出了一个完美的解决方案,解决了去中心化过程中的安全问题。比特币网络的算力规模越大,网络越安全,但其处理交易的效率并没有提高。

如果一个价格机制可以简单的利用所谓的“可信”节点上传到链上或者通过 LP 份额的方式来简单决定,而使用这个价格的 DeFi 协议或者用户无法对你的价格进行无需许可的有效验证,那么你给出的价格就是你说的算,并不是共识过的价格,并不是大家一起说的算;进而,基于这套价格体系的链上经济体的安全系数,也必然不会随着规模的扩大而增强。简单来讲,这与区块链本质背道而驰,舍本逐末。

坚定去中心化的安全之路

NEST Protocol 坚持以无需许可,可被任何人验证的无套利空间的价格同步在链上生成,供 DeFi 协议调用,随着 NEST 报价矿工/验证者参与规模的增长,其在链上生成的价格数据质量也会同步提高,这是一个非合作博弈系统所应该表现出来的基础属性,可累积博弈。

在有效市场下,这种报价矿工之间的博弈、报价矿工与验证者之间的博弈,以及协议与二级市场之间的博弈,多维度非合作博弈生成的链上价格才是我们应该去追求的安全之根。

坚持区块链本质,坚定去中心化精神,是区块链行业发展的第一准则。

撰文 | NESTFANS.知鱼

4. 攻击者从 Curve 池中取出一定量的 USDT,使 DAI/USDT/USDC 的比例失衡,及 DAI/ (USDT&USDC) 贬值

比特币的设计,是让所有节点一起对正在广播的交易进行验证,所有人都同意的广播,这笔交易才作数。其本身就是一个冗余的复杂系统,比特币并非是为了在“可用性”方面做出创新,而是在“可信性”方面给出了一个完美的解决方案,解决了去中心化过程中的安全问题。比特币网络的算力规模越大,网络越安全,但其处理交易的效率并没有提高。

撰文 | NESTFANS.知鱼

DeFi协议Warp Finance遭遇闪电贷攻击 约800万美元被盗:DeFi门户网站DefiPrime今日早间在推特表示,北京时间12月18日06:34,流动性LP代币抵押借贷DeFi协议Warp Finance遭遇闪电贷攻击,约800万美元被盗。此外,Warp Finance官方也在推特表示,正在调查最近一小时内被借出的违规稳定币贷款,并建议不要再存入稳定币,直到官方查明违规情况为止。[2020/12/18 15:38:24]

闪电贷套利机器人在巨鲸交易中花费约4ETH套利8万多USDC:8月11日消息,监控套利空间的闪电贷机器人花费约4ETH 的gas费从Uniswap上套利8 万多USDC。由于有“巨鲸”在Uniswap上用约1800万美金USDT一次性购买约40,000ETH (相关阅读:以太坊巨鲸在Uniswap上将ETH价格推高至450美元),造成了Uniswap上ETH超10% 的溢价;闪电贷机器人监控到该套利空间,花费约4ETH的gas费从中套利8 万多USDC。 \n该笔交易哈希为0x01afae47b0c98731b5d20c776e58bd8ce5c2c89ed4bd3f8727fad3ebf32e9481。从Etherscan显示的交易细节可看出,该笔交易包含了包括借款和还款在内的6步操作,共发生了15笔代币转移。(PANews)[2020/8/11]

BiKi闪电贷将于8月4日18:00上线DMCH:据BiKi官方消息,BiKi闪电贷将于8月4日18:00上线DMCH,支持质押DMCH借贷USDT,可登陆APP查看借贷详情。 \nDarma Cash(DMCH)是一个高速区块链,它在门罗(XMR)的基础上集成了最新的隐私技术,以实现真正的私有地址,隐藏的财务数据,掩盖的身份,无追踪的IP,私有智能合约和基于Oracle和原子的DeFi交换技术。Darma Cash是新一代匿名区块链的尖端技术。[2020/8/4]

标签:

区块链热门资讯
以太坊矿工可提取价值(MEV) 为何说这与你密切有关

原文标题:《关于以太坊MEV的一切 为何说这与你密切有关》 注:原文作者是来自Paradigm基金的研究员Charlie Noyes,在这篇文章中,他解释了矿工可提取价值(MEV)的概念及类型,其表示,MEV问题会损害用户和区块链网络。

2021/2/7 16:46:39
详解去中心化代币发行机制IDO:七大平台的特性与现状

得益于DeFi基础设施的优化,以及DeFi用户大规模增加,越来越多项目选择IDO的方式进行募资,UMA、MTA、API3、PREP等知名代币都是如此,带来显著的财富效应,而近期IDO项目的数量亦在大幅增多。 在这种背景下,越来越多IDO平台与模式涌现,近期Sushiswap亦选择入局,为IDO市场带来更多的影响力与关注度。

2021/2/7 15:31:32
狗狗币最高暴涨10倍 马斯克发起投票 130万人里有70%跟着“疯”

美国散户的逼空战火烧到了币圈,这次他们的目标是狗狗币(Dogecoin)。 近日不少美国散户称,狗狗币是下一个游戏驿站和比特币,价格会达到1美元,并将颠覆加密市场。当时,狗狗币价格只有0.007美元。 狗狗币是一种加密货币,诞生于2013年12月,是澳大利亚企业家杰克逊·帕尔默和软件工程师比利·马库斯创建。

2021/2/7 15:20:15
工行数字人民币“可视卡”亮相长沙 落地加油站场景

移动支付网讯:数字人民币可视卡又有新进展!2月5日,湖南和顺石油滨水加油站工行数字人民币“可视卡”亮相! 和顺石油作为湖南省加油站场景“数字人民币”首发站,接待了在湖南第一批使用“数字人民币”加油的体验用户,湖南省首张“数字人民币”可视卡也在和顺石油滨水加油站神秘亮相! 现场体验用户使用数字人民币软钱包“碰一碰”和扫码支付加油。

2021/2/7 15:20:10
金色趋势丨以史鉴今 属于BTC的时代才刚刚开启

我们看下比特币矿工收益长期走势(上)与比特币现货价格走势(下)之间的关系,研究可以发现,目前虽然价格已经远远超过2017年的牛市顶点2万美金,不过矿工收益目前还未超过17年比特币2万美金的水平,还有段距离,如果回顾历史每轮牛市的终极大顶,只有在比特币矿工收益创历史新高的情况下。

2021/2/7 15:09:14
OKX