首發 | CertiK：八千萬人民幣不翼而飛 Compounder.finance內部操作攻擊分析_UND

八千萬人民幣的大案子，是不是想起了《人民的名義》里那一墻的人民幣？

在日常生活里，也許你不小心疏忽遺失了錢包也丟不了太多錢。但在加密貨幣的世界中稍有不慎，損失的金額也許是一把撒出去遮天蔽日的那種效果。

在層出不窮的礦坑中，一著錯漏，滿盤皆輸。往往項目擁有者與投資者一樣，心心念念記掛著自家項目的安全性。

但有一種情況是例外.....

北京時間12月1日下午3點，CertiK安全技術團隊通過Skynet發現Compounder.Finance項目位于0x0b283b107f70d23250f882fbfe7216c38abbd7ca地址處智能合約發生多筆大額交易。

CertiK安全技術團隊驗證后，發現這些交易是Compounder.Finance項目擁有者內部操作，將大量代幣轉移到自己的賬戶中。

Gate Group宣布通過其立陶宛主體Gate Global UAB推出Gate Visa借記卡:3月9日消息，Gate Group宣布通過其立陶宛主體Gate Global UAB推出Gate Visa借記卡。用戶可在全球8000多萬個接受Visa的商戶地點消費他們的加密貨幣。[2023/3/9 12:51:20]

經統計，Compounder.Finance最終共損失約價值8000萬人民幣的代幣。

攻擊事件經過如下：

圖一：inCaseTokenGetStuck()函數

Compounder.Finance項目擁有者通過多次調用如圖一所示位于0x0b283b107f70d23250f882fbfe7216c38abbd7ca中的inCaseTokenGetStuck()函數，將代幣轉移到自己的指定的地址中。

BitMEX將于3月9日進行主網系統升級:3月2日消息，BitMEX發推稱，今日已經按照規劃在測試網上成功完成升級。根據此前公布的計劃，BitMEX將于3月9日（預計UTC時間00:15）在主網上暫停交易并進行相同的系統升級。[2023/3/2 12:38:17]

調用該函數時，首先在1471行會檢查外部函數調用者是否為strategist或者governance角色地址，通過檢查于0x0b283b107f70d23250f882fbfe7216c38abbd7ca智能合約的strategist角色地址，發現與Compounder.Finance項目擁有者地址一致。

圖二：Compounder.Finance:StrategyControllerV1中strategist角色地址

數據：0x7d開頭ETH巨鯨地址自FTX崩盤后持續買入17,225枚ETH:11月30日消息，據Lookonchain數據顯示，排名第101位ETH巨鯨地址（0x7d開頭）自FTX崩盤事件后已買入17,225 枚ETH，約合2125萬美元。其中，該地址從Kraken平臺買入5,293枚ETH，從Uniswap買入11,302枚ETH，買入均價為1234美元。目前該地址共持有116,274枚ETH，約合1.47億美元。[2022/11/30 21:13:20]

圖三:?項目管理者盜取代幣的交易舉例

項目管理者盜取代幣的交易列表:

●?https://etherscan.io/tx/0x9c75f70670d94e6d37f60a585f9b57d13193998d64866f720489efbea4809056

SBF或將參加11月30日紐約時報舉辦的DealBook Summit:11月17日消息，據活動官方頁面顯示，紐約時報計劃于11月30日舉辦一場 DealBook Summit 活動，Sam Bankman-Fried（SBF）、Zelensky、Larry Fink（Blackrock 首席執行官）和美國財政部長 Janet Yellen 將作為主要發言人。網站個人介紹仍顯示 SBF 為 FTX CEO。[2022/11/17 13:17:47]

From?Compounder.Finance:StrategyControllerV1To?Compounder.Finance:Deployer?For6,230,432.06773805($458,310.58)?CompoundUni...(cUNI)

MakerDAO創始人的拆分計劃已投票通過:金色財經報道，MakerDAO社區周一通過了Rune Christensen的 \"Endgame \"提案，并由此為DAO的新治理架構創造了條件。Endgame實施后，將把MakerDAO分解成更小的集群，稱為 \"MetaDAO\"。MakerDAO目前沿著一些戰略核心單位運作，承擔著不同的功能。這些單位都在DAO的管理之下。

然而，在MetaDAO的新范式下，一旦實施，情況將發生變化。MetaDAO將彼此獨立運作，它們將有自己的平行治理結構。這個治理結構將包括每個MetaDAO的獨立代幣和決策架構。其中一個MetaDAO甚至將處理Maker對現實世界資產投資的推動。

周一的投票結束時，80%的選票支持Endgame計劃。然而贊成票中，超過70%來自與Maker創始人有關聯的投票集團，這引發了治理集中化的問題。（the block）[2022/10/29 11:54:55]

●?https://etherscan.io/tx/0x18e0efcaabe64299666fd78bb33dae2a4b25c6f11b469fc0498db714970cacfa

From?Compounder.Finance:StrategyControllerV1To?Compounder.Finance:Deployer?For1,934.23347357($745,530.95)?CompoundWra...(cWBTC)

●?https://etherscan.io/tx/0xf94de5a083f16700f4d26ec8ca3e03dc01889a54f472bf630079c54a77f033e6

From?Compounder.Finance:StrategyControllerV1To?Compounder.Finance:Deployer?For97,944,481.39815207($2,086,547.53)?CompoundUSD...(cUSDC)

●?https://etherscan.io/tx/0x0763afe207015ed7c1aa8858d2c092cf7b6a20397f2408bff20b044ef1901822

From?Compounder.Finance:StrategyControllerV1To?Compounder.Finance:Deployer?For105,102,172.66293264($2,159,301.01)?CompoundUSD...(cUSDT)

●?https://etherscan.io/tx/0x10d245e61e76c7bf44257985789463ed89f624a0d5ffc45cfa671b16a7113d77

From?Compounder.Finance:StrategyControllerV1To?Compounder.Finance:Deployer?For1,300,610.936154161964594323($1,521,714.80)?yearnCurve....(yyDAI+...)

●?https://etherscan.io/tx/0x57c61df91e46b191424bfdd9223f277457a07999b58420e3b540059aad3fc7fe

From?Compounder.Finance:StrategyControllerV1To?Compounder.Finance:Deployer?For8,077.540667($4,788,285.33)?WrappedEthe...(WETH)

當今DeFi市場中存在著項目擁有者權限過大，中心化程度過高的項目比比皆是。

目前對項目擁有者缺乏額外治理或者限制措施，由于此類原因導致的內部操作攻擊事件也逐漸增多。

此次事件造成損失巨大，攻擊技術細節簡單，更是為所有DeFi項目敲響了警鐘：

1.?當前DeFi市場中缺乏對項目擁有者進行有效限制的方法。

2.?投資者對該類安全風險主要還是依靠查找項目背書的方式來進行確認。

項目的安全與否不該依賴于項目擁有者或團隊自身的“選擇”，這樣的防范方式并不可行，從智能合約代碼層面對項目擁有者進行權限限制才能從根本上杜絕此類攻擊。

歡迎搜索微信關注CertiK官方微信公眾號，點擊公眾號底部對話框，留言免費獲取咨詢及報價。

來源：金色財經

Tags：UNDCOMPOMPCOMFUNDZcompound幣最新消息omp幣是什么意思combo幣行情

Filecoin