以太幣交易所 以太幣交易所
Ctrl+D 以太幣交易所
ads

黑客攻同源漏洞 「團滅」Fork協議_BSC

Author:

Time:1900/1/1 0:00:00

2021年5月,加密資產市場頗為動蕩,BTC從5萬美元上方最低跌至29000美元,幾近腰斬,大多數加密資產最大跌幅超過50%。

二級市場巨震之下,鏈上生態也不太平。5月份,DeFi市場發生至少13起黑客攻擊事件,多集中在幣安智能鏈(BSC)上,折損資金達到2.7億美元,超過了2020年所有DeFi安全事件的資產損失。BSC官方認為,一個有組織的黑客團隊盯上了BSC。

為何BSC鏈上項目集中失竊?黑客又如何做到快速捕捉項目漏洞?區塊鏈安全公司PeckShield發現,很多被攻擊的項目都存在同源漏洞。

比如,在BSC收益聚合器PancakeBunny被攻擊后,Fork(分叉)自PancakeBunny的AutoShark和Merlin Labs在接下來的一周內接連失竊;而被攻擊的BurgerSwap和JulSwap,代碼都是Fork自Uniswap,但它們似乎在進行改動時產生了漏洞。

PeckShield相關安全負責人告訴蜂巢財經,這些Fork出的協議被攻擊主要是在沒有完全理解原協議背后的邏輯下,進行微創新,導致一個小的更新或小的組合就可能產生漏洞。

PeckShield:NFT借貸平臺JPEG'd或遭黑客攻擊:7月30日消息,據PeckShield發推稱,NFT借貸平臺JPEG'd或遭黑客攻擊,損失金額達6106枚ETH,JPEG代幣短時下跌40%。[2023/7/30 16:07:20]

屢次發生的安全事件再度給協議開發者提了個醒,在進行DeFi的模式創新時,不應忽視底層代碼的安全性。

屋漏偏逢連夜雨。在加密資產市場跌勢不止時,鏈上協議的安全事故頻發。

5月30日,BSC上的穩定幣兌換協議Belt Finance遭遇閃電貸攻擊,損失620萬美元。根據區塊鏈安全公司PeckShield的追蹤,此次攻擊源于攻擊者在PancakaSwap完成8筆閃電貸后,通過重復買入賣出BUSD,利用bEllipsisBUSD策略余額計算中的漏洞操縱beltBUSD的價格進行獲利。

被攻擊后,Belt Finance就閃電貸攻擊事件發推致歉并發表報告,其表示將進行進一步審計,并將在48小時內發布用戶補償計劃。

遭黑客攻擊的算法穩定幣Beanstalk Farms擬借入7700萬美元資金重啟項目:5月11日消息,遭黑客攻擊的Stablecoin Beanstalk Farms正在從私人投資者那里籌集7700萬美元的場外交易貸款擬重啟項目。據悉,Beanstalk DAO已經于近日批準了相關貸款融資的治理投票,該團隊計劃向OTC貸方發行新代幣,聲稱將支付500%的收益率,直到貸款全部償還,但目前還不清楚誰會出資借給Beanstalk。

此前報道,2022年4月17日,Stablecoin項目Beanstalk DAO遭受黑客攻擊,損失高達1.82億美元。BeanStalk是一個分散的基于信用的Stablecoin協議,由三個相互連接的組件組成:去中心化價格預言機、去中心化治理系統和去中心化信貸工具。(TheBlock)[2022/5/11 3:04:56]

受此影響,Belt Finance治理代幣BELT大幅下跌,從28日的58美元高點跌至27美元,短期跌幅達到53.44%。

BitMart黑客攻擊事件受害者仍未收到賠償:1月10日消息,BitMart加密黑客事件過去一個月后的今天,受到此事件影響的受害者仍未收到任何形式的退款,目前尚不清楚BitMart計劃如何補償所有受影響的用戶。此前報道,12月4日,加密貨幣交易所BitMart遭黑客攻擊,損失2億美元,而在黑客入侵后不久,BitMart創始人宣布將使用自己的資金來賠償受影響的用戶。(The Economic Times)[2022/1/10 8:38:19]

這已是5月份第12個被攻擊的BSC鏈上項目。蜂巢財經統計,自5月2日以來,Spartan Protocol、Value DeFi、BearnFi、Venus、PancakeBunny等項目接連失竊,共計損失2.7億美元資金,Value DeFi更是兩次遭攻擊。

BSC被攻擊項目一覽

動態 | Cryptopia:黑客攻擊的受害者將得到退款:據ambcrypto消息,總部位于新西蘭的加密貨幣交易所Cryptopia一直在努力更新其系統,以便重新啟動。據此前報道,該交易所在2019年1月遭到兩次黑客攻擊而癱瘓。最近為了全面恢復功能,交易所進行了系統更新,在此期間,交易所允許用戶進行交易活動,隨后停止。在他們的最新推特中,該交易所還通知了用戶即將進行的預定更新。Cryptopia團隊向所有受黑客攻擊影響的用戶發送電子郵件。這封郵件似乎是對黑客攻擊的澄清,并對有關這是一場退出騙局的指控進行了回復。該交易所進一步解釋了他們在黑客攻擊期間所采取的措施,這些措施防止了額外的資金受到損害。自2月14日被允許訪問他們的網站以來,該交易所在恢復服務方面多次采取了重大步驟,包括他們的Twitter定期更新。交易所還宣布,黑客攻擊的受害者將得到退款。該交易所通知用戶,他們計劃在本月底前開始活動。[2019/3/18]

2.7億美元的資產損失已經超過了2020年所有DeFi安全事件的損失。根據此前PeckShield發布的數據,2020年DeFi安全事件達到60起,損失逾2.5億美元。

公告 | Newdex受到黑客攻擊 請玩家不要交易 FAST:Fastwin發公告稱由于Newdex受到黑客攻擊,黑客賬號:mcblockchain,請所有玩家不要去 Newdex等任何交易所交易 FAST。已經成交的 FAST,稍后我們會給出相應的解決方案。目前, Newdex 已停止 FAST / EOS 交易對的交易。[2018/12/25]

短短一個月時間,BSC鏈上連續不斷遭到黑客光顧,顯得頗為蹊蹺。壓力之下,BSC官方不久前在社交平臺發文稱,最近已經接連發生超過8起針對BSC鏈上項目的閃電貸攻擊,「我們認為現在有一個有組織的黑客團隊盯上了BSC。」

BSC官方呼吁所有DApp防范風險,建議鏈上項目與審計公司合作進行健康檢查,如果是分叉項目,需反復檢查相對原始版本進行的更改;采取必要的風險控制措施,實時主動監控異常情況,一旦出現異常及時暫停協議;制定應急計劃,以防出現最壞的情況;如果條件允許可設定漏洞賞金計劃。

的確,復盤12起安全事件,閃電貸攻擊是黑客最常用的手段。Spartan Protocol、PancakeBunny、Bogged Finance、BurgerSwap、JulSwap等項目都是閃電貸攻擊的受害者。

需要明確的是,閃電貸本身并非是一種攻擊手段,它只是一種高效的借貸模式,能夠放大任何人的本金。正如Chainlink CMO Adelyn Zhou所言,「閃電貸不會在DeFi內部產生漏洞——它只是揭示了已經存在的漏洞。」

在DeFi經過了高速發展后,BSC上仍有如此多項目在短時間內暴露出漏洞,令鏈上用戶感到心驚。不禁要問,為什么這些安全事件集中爆發在BSC鏈上?又為何黑客能夠快速找到這么多項目的漏洞并實施攻擊?

今年以來,BSC異軍突起,作為以太坊的側鏈,它憑借更高效的交易處理效率和低廉的手續費,吸引了大量的項目和鏈上玩家入駐,巔峰時期,其鏈上總鎖倉價值超過344億美元,是僅次于以太坊的第二大DeFi集結地。

BSC生態的快速崛起,搶占鏈上先發紅利,大量項目扎堆部署。由于此前,以太坊上大多項目已經開源,不少開發者采用了Uniswap、Curve等成熟項目的開源代碼,經過簡單修改后便在BSC上快速上架。而這種匆忙地Fork(分叉)成了BSC鏈上項目成批量被黑客攻擊的隱患。

據PeckShield披露,近期被攻擊的BurgerSwap和JulSwap,代碼都是Fork自Uniswap。PeckShield指出,「但它們似乎并沒有完全理解Uniswap背后的邏輯。」

根據事發后BurgerSwap的報告,攻擊者自發「假幣」,隨后與協議的原生代幣BURGER形成交易對,改變了后者的價格。很顯然,分叉自Uniswap的BurgerSwap在某些方面不夠成熟,被黑客鉆了空子。

Fork協議的來源不僅是以太坊,BSC鏈上一些早期協議應用也被后來者Fork上鏈。AutoShark和Merlin Labs兩個聚合器協議,皆因Fork了PancakeBunny被黑客洗劫。從時間線來看,5月20日,PancakeBunny遭到閃電貸攻擊,此次攻擊源于攻擊者利用該協議操縱了LP Token BNB-BUNNY和BNB-BUSDT的價格。

看到PancakeBunny被攻擊后,AutoShark發文強調自己的安全性,表示其做了4次代碼審計,其中2次正在進行中。但打臉接踵而至,僅僅4天后,AutoShark遭遇閃電貸攻擊,其代幣SHARK瞬間下跌99%。根據PeckShield的分析,此次攻擊手法與PancakeBunny被攻擊的手段相似。

被打臉的還有Merlin Labs,在被攻擊前,它也曾發文表示已經反復執行代碼的審核,為潛在的可能性采取了額外的預防措施。但5月26日,黑客就「乘勝追擊」,洗劫了Merlin Labs。

PeckShield認為,這是攻擊PancakeBunny后的模仿案,攻擊者都不需要太高技術和資金的門檻,只要耐心地將同源漏洞在Fork出的協議上重復試驗,就能撈上可觀的一筆。「Fork 的 DeFi 協議可能尚未成為 Bunny 挑戰者,就因同源漏洞損失慘重,被嘲笑為『頑固的韭菜地』 。」

此外,在Belt Finance被攻擊的案例中,黑客利用了bEllipsisBUSD策略余額計算中的漏洞,操縱了beltBUSD的價格,而Ellipsis則Fork自以太坊知名協議Curve。

PeckShield相關安全負責人告訴蜂巢財經,這些Fork的協議被攻擊主要是在沒有完全理解原協議背后的邏輯,進行微創新,導致一個小的更新或小的組合就可能產生漏洞。

該負責人表示,從已知的漏洞下手是攻擊者對尚處發展階段的DeFi領域常用的「覓食」方法。對于項目方來說,對DeFi 協議安全的重視,不是嘴上說說而已,而是要做到「吾日三省代碼」:協議上線前有沒有做靜態審計?其他協議遭到攻擊后,有沒有自查代碼,檢查是否出現類似漏洞?交互的協議有沒有安全風險?

從上述案例來看,BSC鏈上一批項目集中失竊,主要是黑客找到了多個協議的同源漏洞,只需模仿攻擊手段,就能「舉一反三」,在短時間內完成對多個項目的剽竊。

屢次發生的安全事件也給協議開發者提了個醒,在進行DeFi的模式創新時,不應忽視底層代碼的安全性。

對此,PeckShield建議,新合約上線前要進行審計,也需要注意排查與其他DeFi產品進行組合時的業務邏輯漏洞。同時要設計?定的風控熔斷機制,引?第三?安全公司的威脅感知情報和數據態勢情報服務,完善防御系統。「所有DeFi協議都存在變數,即使?個協議進行了多次審計,?個小的更新也會使審計變得無用,因此即使?個小的更新都要重新進行審計。」

Tags:BSCEFIDEFIDEFVBSC幣GDEFI價格DOGDEFI幣World of Defish

幣安app官方下載最新版
摩根大通CEO警告投資者“要當心加密貨幣”_加密貨幣

在周四的眾議院金融服務委員會聽證會上,摩根大通(JPMorgan)首席執行官Jamie Dimon表示,他個人對加密貨幣感到擔憂,但不會讓摩根大通放棄提供與加密相關的金融服務.

1900/1/1 0:00:00
解析平行鏈:實現過程、技術難點、未來發展方向等_JEFF

加入 PolkaWorld 社區,共建 Web 3.0! 平行鏈是如何從研究論文,變成代碼實現的?平行線程、嵌套中繼鏈等.

1900/1/1 0:00:00
金色觀察丨從DeFi到DEX:以太坊協議發展簡史_以太坊

金色財經 區塊鏈5月31日訊? ?如今的去中心化金融 (DeFi) 已經成為一個持續發展的行業,與其他具有競爭產品的經濟體一樣,不少去中心化金融協議也經歷過起起落落,有的協議在短時間內走上巔峰.

1900/1/1 0:00:00
三明治攻擊暗流涌動 DeFi要如何走出泥潭?_區塊鏈

最近CipherTrace的一項研究描繪了一幅悲慘的景象:盡管加密用戶在犯罪襲擊中的損失在2020年大幅下降了57%,降至19億美元(相比之下,2019年為45億美元).

1900/1/1 0:00:00
比馬斯克更有信仰 Twitter創始人要出手拯救比特幣了_比特幣

前段時間鑼鼓喧天的幣圈突然熄火了。5月以來,不管是主流的比特幣、以太幣,還是非主流的狗狗幣、shi幣全部大跳水,幾十萬人瞬間爆倉,各大數字貨幣交易所一度宕機,百億資金在頃刻間化為烏有,而這種血崩.

1900/1/1 0:00:00
519極端行情下 DeFi表現如何?_ETH

在高度的價格波動和極端的Gas價格中,DeFi體現了其在協議層面的彈性。清算和套利機制按計劃運作,保持穩定,同時穩定幣保持其穩定性,看到整個生態系統的大量轉賬量和使用.

1900/1/1 0:00:00
ads