簡析Avalanche上最有潛力的5個DApp_ANC

本文梳理自DeFi研究員TheDeFiEdge在個人社交媒體平臺上的觀點，律動BlockBeats對其整理翻譯如下：與去年年底相比，Avalanche的熱度似乎有所衰減，但根據目前的鏈上數據顯示，Avalanche生態在今年將會進一步爆發。1.Avalanche的TVL排名目前上升至第四位，并且具有不錯的Mcap/TVL比率。2.獨特錢包地址數量已超200萬個3.每日交易量每天約100萬次，并且還在增長AVAX的價格最近也漲勢兇猛，但由于宏觀環境的制約，我認為它的價格仍有滯后性。

如果你對Avalanche還不是很熟悉，它是由康奈爾大學前計算機教授EminGnSirer領導創造的Layer1公鏈，采用子網技術解決擴容性問題。Avalanche現在是市值排名第9，是不愿支付ETH高昂gas費的DeFi投資者的首選之一。你可能會問，「什么是子網？」。每個Layer1公鏈都會遇到擴容性和gas費用問題，且都有各自的解決方案。Avalanche的解決方案就是子網，可以看作是主網下的「迷你鏈」，它們允許各類dApp在自己的鏈上運行，而不會影響主網的其余部分。以太坊主網現在面臨著嚴重的堵塞和gas問題，但如果Uniswap和Opensea等大型應用能在其主網下運行自己的鏈，將能為其他所有人釋放出更多的流量。目前以太坊的擴容方案主要是Layer2公鏈，但對于用戶而言，加入Avalanche上的子網要比進入Layer2公鏈簡單得多。在過去的幾周里，我一直在研究Avalanche上最新的dApp，以下是我認為最有潛力的5個：1.TraderJoe

Beosin：UVT項目被黑客攻擊事件簡析，被盜資金已全部轉入Tornado Cash:金色財經報道，據Beosin EagleEye 安全預警與監控平臺檢測顯示，UVT項目被黑客攻擊，涉及金額為150萬美元。攻擊交易為0x54121ed538f27ffee2dbb232f9d9be33e39fdaf34adf993e5e019c00f6afd499

經Beosin安全團隊分析，發現攻擊者首先利用開發者部署的另一個合約的具有Controller權限的0xc81daf6e方法，該方法會調用被攻擊合約的0x7e39d2f8方法，因為合約具有Controller權限，所以通過驗證直接轉走了被攻擊合約的所有UVT代幣，Beosin安全團隊通過Beosin Trace進行追蹤，發現被盜資金已全部轉入Tornado Cash。[2022/10/27 11:48:46]

這是Avalanche上排名第一的DEX，目前市值達2.14億美元。TraderJoe正在擺脫原先的xJOE模型，并推出新的Token經濟學模型rJOE、sJOE以及veJOE，它們每個都有不同的用例：rJOE：LaunchpadTraderJoe有一個新項目的Launchpad。如果你想獲得最近比較火的Fief工會的早期入場機會，就必須通過這個Launchpad，用戶需要先質押自己的JOE以獲得rJOE，作為進入Launchpad的憑證。sJOE：穩定幣如果用戶獲得被動收入，便可以質押JOE已獲得sJOE。這樣一來用戶就可以分享TraderJoe平臺產生的收入，并以穩定幣的形式獲得回報。veJOE：收益助推器veJOE與Curve和SpiritSwap采用的機制類似。想要獲得額外收益的DeFi投資者，可以選擇質押JOE并獲得代表收益投票權的veJOE，以此提升特定礦池的收益。我其實不是DEX的忠實粉絲，因為許多DEX的Token表現都很不理想，比如PancakeSwap、Raydium等。但或許TraderJoe的新模型會最終打破這一趨勢嗎。2.Platypus

慢霧：跨鏈互操作協議Nomad橋攻擊事件簡析:金色財經消息，據慢霧區消息，跨鏈互操作協議Nomad橋遭受黑客攻擊，導致資金被非預期的取出。慢霧安全團隊分析如下：

1. 在Nomad的Replica合約中，用戶可以通過send函數發起跨鏈交易，并在目標鏈上通過process函數進行執行。在進行process操作時會通過acceptableRoot檢查用戶提交的消息必須屬于是可接受的根，其會在prove中被設置。因此用戶必須提交有效的消息才可進行操作。

2. 項目方在進行Replica合約部署初始化時，先將可信根設置為0，隨后又通過update函數對可信根設置為正常非0數據。Replica合約中會通過confirmAt映射保存可信根開始生效的時間以便在acceptableRoot中檢查消息根是否有效。但在update新根時卻并未將舊的根的confirmAt設置為0，這將導致雖然合約中可信根改變了但舊的根仍然在生效狀態。

3. 因此攻擊者可以直接構造任意消息，由于未經過prove因此此消息映射返回的根是0，而項目方由于在初始化時將0設置為可信根且其并未隨著可信根的修改而失效，導致了攻擊者任意構造的消息可以正常執行，從而竊取Nomad橋的資產。

綜上，本次攻擊是由于Nomad橋Replica合約在初始化時可信根被設置為0x0，且在進行可信根修改時并未將舊根失效，導致了攻擊可以構造任意消息對橋進行資金竊取。[2022/8/2 2:52:59]

這是Avalanche上的穩定幣AMM，與Curve一樣提供低滑點的穩定幣交易服務。Platypus得到了很多頂尖機構的支持，目前市值6800萬美元。

安全團隊：LPC項目遭受閃電貸攻擊簡析，攻擊者共獲利約45,715美元:7月25日，據成都鏈安“鏈必應-區塊鏈安全態勢感知平臺”安全輿情監控數據顯示，LPC項目遭受閃電貸攻擊。成都鏈安安全團隊簡析如下：攻擊者先利用閃電貸從Pancake借入1,353,900個LPC，隨后攻擊者調用LPC合約中的transfer函數向自己轉賬，由于 _transfer函數中未更新賬本余額，而是直接在原接收者余額recipientBalance值上進行修改，導致攻擊者余額增加。隨后攻擊者歸還閃電貸并將獲得的LPC兌換為BUSD，最后兌換為BNB獲利離場。本次攻擊項目方損失845,631,823個 LPC，攻擊者共獲利178 BNB，價值約45,715美元，目前獲利資金仍然存放于攻擊者地址上（0xd9936EA91a461aA4B727a7e3661bcD6cD257481c），成都鏈安“鏈必追”平臺將對此地址進行監控和追蹤。[2022/7/25 2:36:51]

慢霧：Inverse Finance遭遇閃電貸攻擊簡析:據慢霧安全團隊鏈上情報，Inverse Finance遭遇閃電貸攻擊,損失53.2445WBTC和99,976.29USDT。慢霧安全團隊以簡訊的形式將攻擊原理分享如下：

1.攻擊者先從AAVE閃電貸借出27,000WBTC,然后存225WBTC到CurveUSDT-WETH-WBTC的池子獲得5,375.5個crv3crypto和4,906.7yvCurve-3Crypto,隨后攻擊者把獲得的2個憑證存入Inverse Finance獲得245,337.73個存款憑證anYvCrv3Crypto。

2.接下來攻擊者在CurveUSDT-WETH-WBTC的池子進行了一次swap,用26,775個WBTC兌換出了75,403,376.18USDT,由于anYvCrv3Crypto的存款憑證使用的價格計算合約除了采用Chainlink的喂價之外還會根據CurveUSDT-WETH-WBTC的池子的WBTC,WETH,USDT的實時余額變化進行計算所以在攻擊者進行swap之后anYvCrv3Crypto的價格被拉高從而導致攻擊者可以從合約中借出超額的10,133,949.1個DOLA。

3.借貸完DOLA之后攻擊者在把第二步獲取的75,403,376.18USDT再次swap成26,626.4個WBTC,攻擊者在把10,133,949.1DOLAswap成9,881,355個3crv,之后攻擊者通過移除3crv的流動性獲得10,099,976.2個USDT。

4.最后攻擊者把去除流動性的10,000,000個USDTswap成451.0個WBT,歸還閃電貸獲利離場。

針對該事件，慢霧給出以下防范建議：本次攻擊的原因主要在于使用了不安全的預言機來計算LP價格，慢霧安全團隊建議可以參考Alpha Finance關于獲取公平LP價格的方法。[2022/6/16 4:32:58]

Harvest.Finance被黑事件簡析:10月26號，據慢霧區消息 Harvest Finance 項目遭受閃電貸攻擊，損失超過 400 萬美元。以下為慢霧安全團隊對此事件的簡要分析。

1. 攻擊者通過 Tornado.cash 轉入 20ETH 作為后續攻擊手續費；

2. 攻擊者通過 UniswapV2 閃電貸借出巨額 USDC 與 USDT；

3. 攻擊者先通過 Curve 的 exchange_underlying 函數將 USDT 換成 USDC，此時 Curve yUSDC 池中的 investedUnderlyingBalance 將相對應的變小；

4. 隨后攻擊者通過 Harvest 的 deposit 將巨額 USDC 充值進 Vault 中，充值的同時 Harvest 的 Vault 將鑄出 fUSDC，而鑄出的數量計算方式如下：

amount.mul(totalSupply()).div(underlyingBalanceWithInvestment());

計算方式中的 underlyingBalanceWithInvestment 一部分取的是 Curve 中的 investedUnderlyingBalance 值，由于 Curve 中 investedUnderlyingBalance 的變化將導致 Vault 鑄出更多的 fUSDC；

5. 之后再通過 Curve 把 USDC 換成 USDT 將失衡的價格拉回正常；

6. 最后只需要把 fUSDC 歸還給 Vault 即可獲得比充值時更多的 USDC；

7. 隨后攻擊者開始重復此過程持續獲利；

其他攻擊流程與上訴分析過程類似。參考交易哈希：0x35f8d2f572fceaac9288e5d462117850ef2694786992a8c3f6d02612277b0877。

此次攻擊主要是 Harvest Finance 的 fToken(fUSDC、fUSDT...) 在鑄幣時采用的是 Curve y池中的報價(即使用 Curve 作為喂價來源)，導致攻擊者可以通過巨額兌換操控預言機的價格來控制 Harvest Finance 中 fToken 的鑄幣數量，從而使攻擊者有利可圖。[2020/10/26]

通過Platypus獲得收益的方式很多，其Token經濟學也與Curve有所不同，更加鼓勵PTP的長期持有者：方法一：質押穩定幣首先，質押你的穩定幣并賺取PTP。然后質押PTP以賺取vePTP，質押的時間越長，賺取的vePTP就越多，能進一步助推PTP的APR。但如果用戶取消質押，就會失去所有的vePTP。

Platypus平臺提供了一個受益助推計算器，你可以使用它來估算自己的收入。

方法二：為PTP提供流動性對在TraderJoe上為PTP-AVAX交易對提供流動性以獲得214%的APR。

你還可以使用BeefyFinance自動實現復利，獲得807%的APY，當然這存在額外的智能合約風險，不過我非常信任Beefy。

3.DefrostFinance

這是Avalanche上的Abracadabra，市值720萬美元。用戶將收益資產作為抵押品存入獲得H2O，這是Defrost的穩定幣。

由于0xSifu和FrogNation的問題，Abracadabra遭受了巨大的打擊，因此人們可能會尋找它的替代品。Defrost采取公平發售，沒有VC和內部人士，同時還是Ankr和ElkFinance的合作伙伴，目前正逐漸向跨鏈發展。Defrost現在也有很多不同的收益方法：方法一：FarmingMELT是Defrost的治理Token和收益分紅憑證，抵押MELT可以獲得107%的APY。

方法二：參與Defrost的H2O3CRV-f礦池首先，前往Curve換取一些DefrostH2O池。

然后返回Defrost并存入池中，提升sMELT收益。

Defrost有兩點我不喜歡：1.Defrost收益率大概是每6天10%，但領取所有獎勵需要等待54天。2.用戶必須投入大量MELT才能獲得收益助推。但無論如何，我對Defrost的團隊和Token經濟學都印象深刻。4.CrystalVale

這是DeFiKingdoms在Avalanche上的版本，目前還沒有推出。在Harmony鏈上DeFiKingdoms的市值有5.36億美元，是交易量排名第一的GameFi游戲，而Avalanche上的用戶群體比Harmony大得多。

不幸的是，CRYSTAL的空投已經結束了。用戶現在可以等CrystalVale啟動后，使用跨鏈橋將JEWEL橋接到Avalanche上，然后為JEWEL-CRYSTAL交易對提供流動性，以獲得早期4位數的APR。5.Crabada

這是一款與AxieInfinity機制相似的P2E游戲，市值1.04億美元。我之所以強調這個項目，是因為它在Avalanche上獲得極大的關注，很多人都在玩這個游戲。

總之，Avalanche今年的表現應該會很不錯，鏈上數據優異、子網將更多的普及，以及更多dApp即將推出，Avalanche正在成為一個完整的生態系統。原地址

Tags：ANCUSDLANCALAFODL FinanceMUSD價格Magic BalancerGalaxy Toad Token

波場