Alpha Finance被盜3750萬美元事件回顧，黑客掌握了內部信息_ALP

編者按：本文來自巴比特資訊，作者：rekt，星球日報經授權發布。DeFi的黑暗藝術仍然是最有利可圖的。下面是我們至今遇到過最具戲劇性的故事之一。一個虛假魔術，混亂及指控的故事，導致了迄今為止最大的DeFi黑客事件。大約有3750萬美元資金在一起復雜的DeFi欺騙案中被盜，這次攻擊利用了多筆交易來突襲AlphaFinance的金庫，同時讓很多人相信是Cream的鐵金庫受到了影響。這起謀殺案發生在一個有鏡子的大廳里，DeFi協議日益交織的性質，加上攻擊的復雜性，使得社區對誰是真正的受害者，以及誰該負責賠償感到困惑。攻擊者的合約導致Homora代碼「相信」他們的惡意合約是他們自己的，目的是操縱系統中的內部債務數量。這是協議和攻擊者之間的一場私人戰斗。被利用的合約尚未被公布，也未提供給用戶，這意味著他們沒有受到直接影響。我們還沒有看到過這樣一個明目張膽的內部作案，AlphaFinance很快指出，他們找到了一個「主要嫌疑人」。如果合約還沒有準備好，為什么還要部署在主網上？在混亂中，大玩家迅速采取行動來保護自己的資本。SBF從CreamFinance中提取了價值4億美元的FTT，三箭資本則向幣安發送了價值300多萬美元的ALPHA代幣，其唯一目的可能是出售掉它們。與這次攻擊相關的所有代幣的價值均出現了下降。AlphaHomora治理令牌ALPHA從2.25美元跌至1.78美元。IronBank治理代幣CREAM從288.32美元跌至193.51美元。AAVE，其提供了這次攻擊所需的閃電貸功能，它的治理代幣從當天的518美元跌至492美元的低點。然而，代幣定價并不是這個故事中最有趣的方面。事件回顧

Bitfinex Alpha：美聯儲利率決議開始以前，經濟信號喜憂參半，但比特幣價格被低估:6月13日消息，根據Bitfinex Alpha最新報告，美國經濟面臨貿易逆差擴大、批發庫存略有改善、服務業增速放緩等多方面挑戰。雖然上周公布的工廠訂單數據看起來積極，但整體經濟前景反映出經濟處于不穩定的平衡狀態。到目前為止，市場仍準備在本周的聯邦公開市場委員會會議上暫停加息。

在加密貨幣市場中，與標準普爾500指數相比，比特幣的價值似乎越來越被低估。盡管人工智能推動美國股市上漲，但比特幣的交易價格約為25-26,000美元，遠低于其估計的公允價值27,550美元，折讓幅度超過8%。

從歷史上看，BTC-黃金相關性的走高先于BTC-S&P500相關性的類似走勢，預示著比特幣與標準普爾500指數和解的希望，并可能在未來幾個月引發“追趕”反彈。[2023/6/13 21:33:24]

AlphaFinance團隊發布了一篇出色的調查報告，而他們的發現是驚人的。我們聯合調查的結果表明，腐敗的程度比預期的要嚴重得多。AlphaFinance是否會公開他們的指控還有待觀察，但他們最初關于有主要嫌疑人的聲明表明，影響正在到來。從官方調查報告來看，我們可以看出，攻擊者需要知道以下信息才能實施攻擊：HomoraBankv2為即將發布的版本部署了一個sUSD池子，這一版本既沒有在UI上提供，也沒有公開發布。sUSD借貸池中沒有流動性，因此攻擊者可以完全操縱和夸大總債務金額和總債務份額；借用函數計算中存在舍入錯誤計算，僅當攻擊者是唯一借用者時才會產生影響；resolveReserve函數可以在不增加totalDebtShare的情況下增加totalDebt，而實際上任何人都可以調用用于將收入收集到儲備池的函數；HomoraBankv2接受任何自定義spell，只要不變量檢查出collateral>borrow；在這么多用戶的注視下，搶劫者留下了清晰的線索，在罕見的反擊行動中，受害者將襲擊者挑了出來。上述要求證明，實施這一攻擊需要內幕信息。然而，由于涉及協議和審計公司的范圍，內幕人士可能有多個可能。rekt不再是在做指控的生意，但我們期待著看到AlphaFinance如何處理這種情況。以下是AlphaFinance表述的經過：攻擊者制造了一個邪惡的spellhttps://etherscan.io/tx/0x2b419173c1f116e94e43afed15a46e3b3a109e118aba166fcca0ba583f686d23攻擊者將ETH交換成UNI，并將ETH+UNI提供給Uniswap池子。在同一筆交易中，在Uniswap上交換ETH->sUSD，并將sUSD存入Cream的IronBankhttps://etherscan.io/tx/0x4441eefe434fbef9d9b3acb169e35eb7b3958763b74c5617b39034decd4dd3ad使用邪惡的spell調用execute到HomoraBankV2，執行：借用1000e18sUSD，將UNI-WETHLP存到WERC20，并在此過程中用作抵押品，攻擊者擁有1000e18sUSD債務份額https://etherscan.io/tx/0xcc57ac77dc3953de7832162ea4cd925970e064ead3f6861ee40076aca8e7e571再次使用邪惡spell調用execute到HomoraBankV2，執行：償還100000098548938710983sUSD，導致償還份額比總份額少1。結果，攻擊者現在有1minisUSD債務和1份債務份額。https://etherscan.io/tx/0xf31ee9d9e83db3592601b854fe4f8b872cecd0ea2a3247c475eea8062a20dd41調用sUSD銀行的resolveReserve，產生19709787742196債務，而totalShare仍為1。當前狀態：totalDebt=19709787742197，而totalShare=1https://etherscan.io/tx/0x98f623af655f1e27e1c04ffe0bc8c9bbdb35d39999913bedfe712d4058c67c0e；再次使用邪惡spell調用execute到HomoraBankV2，執行：借入19709787742196美元并轉移給攻擊者。每次借入都比totalDebt值小1，導致相應的借入份額=0，因此協議將其視為無債務借入。在交易結束時，攻擊者向Cream的IronBank存入19.54sUSD。https://etherscan.io/tx/0x2e387620bb31c067efc878346742637d650843210596e770d4e2d601de5409e3繼續這個過程：再次使用邪惡的spell調用execute到HomoraBankV2，執行。在交易結束時，攻擊者將1321sUSD存入Cream的IronBank，https://etherscan.io/tx/0x64de824a7aa339ff41b1487194ca634a9ce35a32c65f4e78eb3893cc183532a4；通過Aave的閃電貸借入1,800,000USDC，然后將這1,800,000USDC換成1770757.5625447219047906sUSD，并存入Cream以使攻擊者有足夠的流動資金使用自定義spell借款，繼續將sUSD借款翻番，從1322.70sUSD增加到677223.15sUSD。將1353123.59sUSD換成1374960.72USDC，從Cream借入426659.27USDChttps://etherscan.io/tx/0x7eb2436eedd39c8865fcc1e51ae4a245e89765f4c64a3200c623f676b3912f9重復步驟8，這次金額大約是1000萬USDC，https://etherscan.io/tx/0xd7a91172c3fd09acb75a9447189e1178ae70517698f249b84062681f43f0e26e；重復1000萬USDC，https://etherscan.io/tx/0xacec6ddb7db4baa66c0fb6289c25a833d93d2d9eb4fbe9a8d8495e5bfa24ba57借款13244.63WETH+360萬USDC+560萬USDT+426萬DAI，向Aave供應穩定幣，向Curvea3Crv池子供應aDAI、aUSDT以及aUSDC，https://etherscan.io/tx/0x745ddedf268f60ea4a038991d46b33b7a1d4e5a9ff2767cdba2d3af69f43eb1b將a3CrvLP代幣添加到Curve的流動性gaugehttps://etherscan.io/tx/0xc60bc6ab561af2a19ebc9e57b44b21774e489bb07f75cb367d69841b372fe896其余的交易將資金發送到TornadoCash以及GitCoinGrants，其中有1000ETH被發送到Cream和Alpha的部署者地址。這個故事很獨特，也令人生疑。當涉及到白帽子/黑帽子的活動時，我們總是期待看到角色轉換，但是我們很少看到受害者如此清楚地指責。幾周前促成Yearn和AlphaHomora合作的AndreCronje在談到這次攻擊時寫道：「花點時間研究了這次攻擊，9筆交易，4種不同的操縱，其中一種包括精確的債務計算，這需要研究團隊花費數小時才能弄清楚，Alpha立即采取了措施來緩解漏洞問題，在發現該問題后的幾分鐘內就解決了它。」而Banteg的回復是：「這個事件絕對是瘋狂的，不可能有人隨便看看合約，尤其是那些未經宣布的東西，就能發現這一點。」也許這會導致另一起Yearn收購案，Cronje的名字在調查報告中被提到了4次，而且這個模式看起來確實很熟悉。匿名黑客的時代還能持續多久？

Iron Bank因壞賬糾紛凍結Alpha Homora的貸款賬戶:金色財經報道，以太坊上借貸平臺Iron Bank因壞賬糾紛于3月1日凍結了Alpha Homora的貸款賬戶并于北京時間昨日晚間發表聲明稱，截至3月2日，Alpha Homora當前欠款約為3200萬美元，Iron Bank曾于2月14日要求Alpha Homora在3日內添加抵押品，但AlphaHomora并未行動。因抵押品ALPHA代幣的價格持續下跌，Iron Bank要求Alpha Homora于北京時間3月6日7:00前償還貸款，否則將會清算其債務，若Alpha Homora償還了貸款，Iron Bank將解鎖其賬戶并釋放抵押代幣。[2023/3/3 12:40:27]

由于可能的嫌疑犯名單非常小，因此更容易排除和追蹤潛在的攻擊者，在這種情況下，名單范圍甚至比平常更小。在處理代碼時，「Don’ttrust,verify」是一句極好的口號，但它并不能阻止日益增長的社會偏執癥。我們正經歷一個加密貨幣和DeFi前所未有的增長時期，在這個時期，不工作的成本是非常高的。DeFi開發者的精神負擔與日俱增。帝國是建立在代碼行之上的，金融的未來就在我們眼前。開發人員陷入了競爭，而腐敗的內部人員則幫助黑客在地下工作，在他們的基礎上挖洞。當一座塔倒塌時，其他的塔都會看著并學習。在塵埃落定之前，人群已經開始前進，而堅韌的的團隊會重返賽場，以尋求更強的實力。在不可避免的錯誤導致他們的匿名斗篷掉下之前，他們還能維持多長時間？

杠桿挖礦平臺Alpaca Finance發布“自動化金庫策略社區計劃”:5月30日消息，杠桿挖礦平臺Alpaca Finance發布“自動化金庫策略社區計劃”（Automated Vault Strategy Community Program），旨在擴大平臺中策略類型的數量。用戶可提交自己的收益策略，Alpaca Finance將圍繞風險/安全、經濟可行性、開發工作者三點進行評估，成功的策略將從金庫中獲得收入分成（創作者將獲得使用該策略的所有AV實例的0.5%管理費），運營、維護和推廣的所有任務將由Alpaca Finance財務團隊負責。[2022/5/30 3:50:03]

Sundar Pichai：谷歌母公司Alphabet云團隊將使用區塊鏈支持客戶需求:金色財經報道，當地時間本周二（2月1日），谷歌和 YouTube 母公司 Alphabet舉行了電話財報會議，其中重點研究了Web 3和區塊鏈技術融合問題。Alphabet首席執行官Sundar Pichai 表示，目前他們有兩個感興趣的領域，一個是增強現實，另一個是如何使用區塊鏈技術為YouTube 和谷歌地圖之類的計算和服務層提供動力。

Sundar Pichai稱區塊鏈是“一種具有廣泛應用的、有趣且強大的技術”，目前Alphabet云團隊正在研究如何通過基于區塊鏈的平臺“支持客戶需求”，并將區塊鏈技術應用在組織客戶服務請求等方面。[2022/2/2 9:27:36]

哥倫比亞政府選擇基于Algorand區塊鏈的Vitalpass作為官方數字疫苗接種護照:9月11日消息，由Auna Ideas基金會和Koibanx共同創建并利用Algorand區塊鏈開發的COVID-19數字疫苗接種護照Vitalpass，已被哥倫比亞政府選為其官方免疫接種證書。

據悉，哥倫比亞是拉丁美洲第一個采用這種技術的國家。此前，薩爾瓦多政府與拉丁美洲區塊鏈資產代幣化和金融基礎設施公司Koibanx簽署了一項協議，以在Algorand之上開發其區塊鏈基礎設施。（雅虎財經）[2021/9/11 23:17:57]

Tags：ALPPHAALPHALPHABALPAC價格AlphaDEXAlphaRush AIAlphaCar Token

ADA