攻擊者凈賺35萬美元，DeFi不僅可以不道德套利，還有中心化問題？_DEFI

一個“聰明的”交易者通過去中心化金融領域的各種協議，凈賺了35萬美元的巨額收益。

一套聰明的指令——所有指令都在一筆大額交易中執行——使某些人能夠利用DeFi生態系統當前的弱點來獲利。通過使用一些去中心化的金融工具和少量的價格操縱，他們能夠獲得大量的以太坊。

DeFi投資公司StakeCapital的創始人JulienBouteloup說明了這個多層次的交易是多么復雜。他大致描述了所發生的事情。

安全團隊：DeFi 借貸協議 Sentiment 大部分被盜資金仍在攻擊者地址:金色財經報道，據區塊鏈安全審計公司Beosin旗下Beosin EagleEye安全風險監控、預警與阻斷平臺監測顯示，2023年4月5日，

DeFi借貸協議sentiment協議遭到攻擊，損失約1百萬美元，Beosin Trace追蹤發現已有0.5WBTC、30個WETH、538,399USDC和360,000USDT被盜，目前，大部分被盜資金還在攻擊者地址。其攻擊的原因在于重入導致的價格錯誤。

攻擊交易:https://arbiscan.io/tx/0xa9ff2b587e2741575daf893864710a5cbb44bb64ccdc487a100fa20741e0f74d

Beosin安全團隊現將分析結果分享如下：

1.攻擊者首先調用Balancer Vault的“joinPool”函數進行質押。

2.然后再調用“exitPool”取回質押，在這個過程中，Balancer Vault會向攻擊者發送eth從而調用攻擊合約的fallback函數。在該函數中，攻擊者調用0x62c5合約的borrow函數，該過程需要根據Balancer Vault.getPoolTokens()的返回數據進行價格計算。而當前正在攻擊者的\"exitPool\"過程中，pool中總供應量已經減少而數據還沒有更新，攻擊者利用這個數據錯誤從而多借出資產達成獲利。

攻擊者收到消息，如果在4月6日8點（UTC）前歸還資產，會獲得95000美元獎勵，并不會被追究。[2023/4/5 13:45:50]

他指出，1萬以太坊的閃電貸可能是問題所在。其中一半資金進入了借貸平臺Compound，用于wrappedBTC（以太坊上的比特幣)。剩下的是做空的抵押品——認為價格會下跌——即wBTC在保證金交易平臺Fulcrum上的交易。該賬戶隨后將wBTC出售給了去中心化交易所Uniswap。價格下跌了，于是黑客套現獲利，償還了最初的貸款。

Ronin Network攻擊者再次轉出3000ETH至Tornado Cash:5月16日消息，據CertiK安全團隊監測，Ronin Network攻擊者再次轉出3000ETH（價值約 610 萬美元）至Tornado Cash。

錢包地址：0xe8b2b5a8a4174b256828fca0f40a8831521160e5[2022/5/16 3:18:34]

但是，這個黑客告訴了人們各種DeFi工具如何一起使用，以獲得不道德的利潤，他或她還強調了這些DeFi工具的中心化程度。

安全公司：APE空投遭閃電貸攻擊，攻擊者套利約60564枚APE:3月18日消息，BlockSec告警系統檢測到APE空投遭受閃電貸攻擊，攻擊者套利了約60564枚APE代幣，價值約40萬美元。攻擊者首先借用BAYC代幣flashloan并贖回BAYC NFTs。然后BAYC NFTs被用于在Airdrop Grapes Token合約（0x025c6da5bd0e6a5dd1350fda9e3b6a614b205a1f）中索賠獎勵。在獲得獎勵后，NFT將被歸還并用于鑄造BAYC代幣，這些代幣隨后將用于償還閃電貸款。[2022/3/18 14:04:48]

Fulcrum使用“管理密鑰”

昨天，維護Fulcrum協議的bZx發布了最新情況。該公司聲稱，其平臺上的用戶無一損失。

“用戶損失的資金為零。針對我們協議的攻擊昨晚出現了大量的報道。從協議的角度來看，有人只是借了一筆錢。從貸款人的角度來看，這筆貸款和其他貸款一樣。”

該平臺還表示，攻擊者在交易所留下了60萬美元的wBTC。他們計劃把這些錢分發給交易所的其他用戶。

但是，要做到這一點，平臺需要使用它的“管理密鑰”。

“目前攻擊者留下了60萬wBTC抵押品。我們將利用這些資金向現有的iETH持有者提供利息和流動性。這將通過我們的管理密鑰完成。這對我們來說是一個非常困難的決定，我們不能掉以輕心。”

從本質上講，這個管理密鑰很難嵌入到協議中，其允許bZx在不得已的情況下控制任何智能合約。管理密鑰的目的正是為了某些情況，即系統出現了問題，同時其中包含了大量的資金。

但是，管理密鑰證明了中心故障點的存在，用戶必須信任交易背后的團隊，相信他們不會偷走所有人的錢。考慮到DeFi的目標就是消除這種信任，這似乎是一個相當大的弱點。

DeFi協議希望有一個安全保障機制，這并不奇怪。以太坊最大的實驗項目——TheDAO——曾經持有14%的以太坊——由于代碼錯誤而失敗了。結果，整個以太坊區塊鏈被重寫，這樣每個人都能拿回他們的錢。但此舉破壞了網絡，招致了很多批評。

這一次，Fulcrum將使用它的管理密鑰來節省時間，但是，此舉徹底暴露了其中心化的本質，它產生的問題比答案更多。

Tags：DEFIDEFEFI以太坊ChargeDeFi ChargeDeFineEco DeFi以太坊官網錢包

歐易交易所app下載