"單一價值"——Indexed Finance閃電貸安全事件分析_EFI

安全實驗室監測到以太坊上的DeFi協議IndexedFinance遭遇閃電貸襲擊，損失超1600萬美元。知道創宇區塊鏈安全實驗室第一時間跟蹤本次事件并分析。攻擊過程簡述

分析攻擊交易：

0x44aad3b853866468161735496a5d9cc961ce5aa872924c5d78673076b1cd95aa

首先使用閃電貸通過Uniswap和ShushiSwap獲取啟動資金

2.通過借貸的AAVE/COMP/CRV/MKR/SNX代幣兌換礦池DEFI5中的UNI代幣(合約規定不允許轉賬超過礦池一半的代幣存量以及兌換超過三分之一的代幣存量，所以黑客進行了多次兌換)

Line透露五款NFT游戲將于2023年下半年發布:金色財經報道，Line Next正在通過其Game Dosi平臺大力推動Web3游戲，并分享了前五款基于NFT的游戲的預覽。Line Next是一家以NFT為中心的美國子公司，該公司是流行的亞洲社交應用程序Line背后的公司，它透露了計劃于2023年下半年在其Web3游戲平臺Game Dosi上發布前五款游戲。[2023/5/14 15:01:47]

3.通過將UNI代幣用于添加流動性鑄造DEFI5LP代幣

印度數字支付公司PhonePe尋求10億美元融資:金色財經報道，彭博社周四援引消息人士的話說，印度數字支付公司 PhonePe 正尋求從 General Atlantic、Tiger Global Management、卡塔爾投資局和微軟公司籌集至多10億美元。據報道，這輪全股權融資預計將在未來兩周內結束，并可能使沃爾瑪支持的PhonePe的估值接近 130 億美元。

金色財經此前報道，8月22日，印度電子支付及數字錢包公司PhonePe再次獲得了3.5億美元的融資。[2022/12/9 21:32:41]

4.向DEFI5礦池添加SUSHI代幣

億萬富翁Mark Cuban：加密貨幣肯定有一席之地，缺少的是新的應用程序:金色財經報道，億萬富翁Mark Cuban在9月6日Vox Media舉行的2022 年年度代碼大會上表示，加密貨幣領域似乎已經失去了它的光澤和它曾經帶來的興奮。加密貨幣肯定有一席之地。缺少的是新的應用程序。就像在互聯網的早期，我們與互聯網一起航行。這一切都很無聊，對嗎？因為我們沒有看到任何新東西。而真正需要的是移動互聯網的出現，才能真正推動它向前發展。而我們現在的加密貨幣沒有這樣的機會，所以它有點無聊。DeFi和NFT可能引起會人們的一些小興趣。[2022/9/9 13:19:44]

5.燃燒DEFI5LP代幣獲得AAVE/COMP/CRV/MKR/SNX/SUSHI代幣

6.通過將SUSHI代幣用于添加流動性鑄造DEFI5LP代幣

7.燃燒DEFI5LP代幣獲得AAVE/COMP/CRV/MKR/SNX/SUSHI代幣

8.歸還閃電貸并將獲利轉移

漏洞成因分析

通過攻擊簡述獲取有效信息

1.黑客有意控制礦池中UNI代幣總量

2.黑客向礦池中添加了新代幣SHSHI

3.黑客通過鑄造、燃燒LP代幣獲利

通過源碼分析漏洞成因

1.檢查源碼發現函數extrapolatePoolValueFromToken被用于尋找礦池中第一個初始化且具有權重的代幣，據官方解釋該函數作用于以該代幣描述整個礦池的價值——即如果礦池中有10個UNI，權重為10%，那么該礦池總價值為100UNI。

由此黑客控制礦池中UNI代幣總量得到解釋，該行為是為了控制礦池總價值。

2.檢查源碼發現函數setMinimumBalance和函數gulp可以添加新代幣并獲得極大的權重。?由此黑客向礦池添加新代幣SUSHI得到解釋，該行為是為了獲得可控且具有極大權重的代幣。

綜合分析

合約設計中礦池的總價值被礦池中第一個初始化且具有權重的代幣用來描述，該代幣總量可被攻擊者控制

合約中可添加新代幣，新代幣可占據極大權重，添加新代幣方式可被攻擊者控制

合約中的資產可通過鑄造、燃燒LP代幣控制，鑄造LP代幣方式可被攻擊者控制

綜述該漏洞成因就是用一種代幣來描述整個礦池的價值，官方也給出了修改方案：取消該模式替換為用礦池中所有代幣余額的組合值來描述。

總結

此次攻擊屬于對礦池價值的單一描述，很容易被他人操控，開發人員應避免此類事件。

知道創宇區塊鏈安全實驗室?提醒各項目方，合約安全作為直接保障資金的防線需要得到最高的重視，合約審計、風控措施、應急計劃等都有必要切實落實。

Tags：EFIDEFIDEFSHIPyrrho DeFidefi幣如何挖礦DeFiDropSHINJI價格

PEPE幣