16 萬美元資產被盜竟是烏龍事件？成都鏈安簡析 Yeld.finance 「閃電貸攻擊」事件_DAI

DeFi項目Yeld.finance稱該項目的DAI池遭受到閃電貸攻擊，但成都鏈安分析稱，該筆交易為Yeld.finance項目自身的策略機制而導致的資金轉移，與閃電貸攻擊無關。

事件概覽

北京時間2021年2月27日，輿情監測到，DeFi知名項目Yeld.finance官方發出通告，表示該項目的DAI池遭受到閃電貸攻擊，原文鏈接如下：

https://yeldf.medium.com/the-yeld-dai-earn-vault-has-been-hacked-93f27d475b1b

成都鏈安安全團隊第一時間介入響應，對原文中所提及的交易

(0x57b378f8d20d3945ab40cd62aa24063f375bcfc5693c2e788dc193ffa1a5cc3a)進行分析。經分析后發現，該筆交易為Yeld.finance項目自身的策略機制而導致的資金轉移，與閃電貸攻擊無關。閃電貸攻擊表示不背這個鍋。

Sui聯合創始人：Sui已支持Groth16 zkSNARK算法:11月19日消息，Sui Network聯合創始人Kostas Kryptos發推稱，Sui歡迎零知識證明，用戶現已可以其交易事務中附加Groth16 ZKP證明，由于我們的后端結合了Arkworks和BLST，因此這樣做可以提升2倍的驗證性能速度。”與此同時，Kostas分享的Sui Github界面顯示關于Groth16的模塊已于今日提交。

注：Groth16是zkSNARK的典型算法，系Groth在2016年發表的一篇論文中提出，目前該算法在ZCash，Filecoin，Coda等多個項目中均有應用。[2022/11/19 13:24:11]

事件分析**

今日恐慌與貪婪指數為16 恐慌程度仍為極度恐慌:金色財經報道，Alternative數據顯示，今日恐慌與貪婪指數為16（昨日為17），恐慌程度上升，等級仍為極度恐慌。 注：恐慌指數閾值為0-100，包含指標：波動性（25%）＋市場交易量（25%）＋社交媒體熱度（15%）＋市場調查（15%）＋比特幣在整個市場中的比例（10%）＋谷歌熱詞分析（10%）。[2020/3/10]

圖1交易信息

如圖1所示，該筆交易是名為0xf0f225e0的用戶，調用了0xe780cab7ca8014543f194fc431e6bf7dc5c16762合約的deposit函數。經確認，0xef80cab7合約正是項目方的DAI池。該筆交易一共產生了6筆代幣轉移，分別用T1到T6表示。那么，這些代幣轉移究竟是什么操作導致的呢？下面通過代碼進行分析：

ZB 創新智庫：十二月份披露區塊鏈公開融資事件 16 起，多個知名項目完成融資:據 ZB 創新智庫統計，2019 年十二月份公開披露的區塊鏈融資事件 16 起，環比下降 33% 以上。區塊鏈金融板塊獨占鰲頭，發生融資 11 起；企業服務板塊融資 3 起。ZB 創新智庫分析師表示：區塊鏈融資呈現出向頭部知名項目顯著傾斜的趨勢，比如 Ripple、MakerDao、Nervos、云象區塊鏈等先后獲得注資，而初創企業和早期項目獲得的資金數量或許正在大幅減少。[2020/1/2]

圖2deposit函數源代碼

行情 | 今日恐慌指數16 恐慌程度上升:據Alternative消息，今日恐慌指數為16，較之前21下降5，恐慌程度有較大幅度上升，暗示市場擔憂增加，恐慌等級為極度恐懼。[2018/8/14]

很明顯，第538行代碼，產生導致了序號為T1的代幣轉移，將token轉移到yDAI合約。這是一筆普通的代幣轉賬，表示用戶存入了9,377DAI到yDAI合約。

第541-553行代碼，是yDAI合約用于計算用戶存入的DAI應返回給用戶多少yDAI，并在第554行進行鑄幣，對應序號為T2的代幣轉賬，表示yDAI合約向用戶鑄了9,306yDAI。

然后進入第555行的rebalance函數，分析該函數的邏輯。

圖3rebalance函數源碼

圖4recommend函數

第732行代碼會計算newProvider，該函數會調用recommend函數(如圖4所示)，recommend函數會調用IEarnAPRWithPool合約查詢4個Defi項目DYDX,COMPOUND,AAVE,FULCRUM中，年利率(APR)最高的項目，查詢結果如圖5所示：

圖5recommend查詢結果

其中dYdX池的APR最高，newProvider被設置為dYdX池。當前池為AAVE池，進入736行的if代碼塊，調用內部函數_withdrawAll。

圖6_withdrawAll函數源代碼

第778行代碼將會提出AAVE池中的所有DAI，產生了序號為T3-T5的代幣轉移，具體代碼可參考AAVE(0xfC1E690f61EFd961294b3e1Ce3313fBD8aa4f85d)合約redeem函數相關代碼，此處不再詳述。

最后是第741行代碼，將從AAVE中提出的16.6余萬枚DAI存入dYdX合約，產生了序號為T6的代幣轉移，即將16.6萬枚DAI存入dYdX池。

整個交易就此結束，可以看到，這次所謂的「閃電貸攻擊」只是「虛驚一場」。用戶只是單純的存入了一筆DAI，然后剛好觸發了Yeld.finance項目的策略機制，并不是所謂的「閃電貸攻擊」，可謂是鬧了場「烏龍事件」。

值得注意的是，dYdX在該事件中充當了一個「良心商家」的角色，并不是以往閃電貸攻擊中的幫兇。

安全建議

盡管本次事件經成都鏈安安全團隊分析后被判斷為虛假一場，但在這里還是有必要提醒各項目方，依然需要在日常的安全防護工作中，對閃電貸攻擊加以預警和防范。

同時，作為致力于區塊鏈生態安全建設的成都鏈安也在此建議，項目方的安全預警機制和安全加固工作切不可等閑視之。尋求第三方安全公司的力量，搭建覆蓋全生命周期的一站式安全解決方案方為萬全之策。

Tags：DAIELDANCYELD2DAI幣ELD RUNE - Rune.GameXBANC幣YELD幣

SHIB最新價格