CertiK：還原Yearn.Finance被攻擊始末_DEFI

2月5日消息，據DeBank數據顯示，DeFi真實鎖倉量突破470億美元，創下歷史新高，本文撰寫時為478.3億美元，約等于3095億人民幣。

2020年被稱為“DeFi元年”，DeFi在Compound首創的“流動性挖礦”推動下獲得了歷史性的大爆發，然而其安全風險居高不下。北京時間2月5日凌晨，CertiK安全技術團隊發現DeFi項目Yearn.Finance發生攻擊事件，攻擊總損失高達約7100萬人民幣，黑客從中獲利約1800萬人民幣。黑客通過閃電貸獲得攻擊啟動資金，利用Yearn項目代碼漏洞，完成整個攻擊。

巴西國會擬對加密貨幣提高稅收:金色財經報道，巴西立法者正在推進一項立法，該立法將提高對海外持有的加密貨幣的稅收。據當地報道，國會的一個委員會已經批準了一項法案的修正案，該法案將加密貨幣認定為 \"金融資產\"，用于海外投資的稅收目的。此外，該法案草案還對加密資產價格相對于巴西法定貨幣的波動以及外匯匯率波動帶來的收益征稅。據國會議員Merlong Solano稱，此次修訂旨在促進平等的稅收待遇，因為目前海外加密貨幣投資獲得的稅收減免較低。

根據新規定，海外收入不超過6000巴西雷亞爾(約1200美元)將免稅。收入在6000到50000英鎊(~ 10000美元)之間的稅率為15%。超過這個起征點，稅率為22.5%。國會將于8月28日對該法案進行投票。如果獲得批準，新的稅收將于2024年1月生效。[2023/8/13 16:22:44]

攻擊者獲利數目截圖

火幣第六期投票上幣活動初賽投票期已開啟:據官方消息，火幣第六期投票上幣活動火熱進行中，初賽投票期已于 6月26日20:00（UTC＋8）開啟。本次投票活動分為預熱拉票期、初賽投票期、決賽投票期三個階段，自6月20日20:00（UTC＋8）起，分別持續時間為6天、2天、2天。隨著預熱拉票期的結束，本次活動即刻進入初賽投票期階段。

據火幣官方公告顯示，本次入選的項目共有21個，持有“火箭”即可參與投票，票數排名第一的項目將在火幣開啟交易服務。[2023/6/27 22:02:47]

此次攻擊總計包括11筆利用漏洞獲利交易以及3筆轉換代幣交易，交易列表如下：

PeckShield：約900萬美元Nomad被盜資金已被歸還:8月3日消息，PeckShield在其社交平臺表示，已檢測到約 900 萬美元 Nomad 被盜資金已被歸還至 Nomad 提供的資金回收地址。[2022/8/3 2:56:16]

除開3筆轉換代幣交易之外，剩余11筆獲利交易均針對同一個漏洞，使用相同的攻擊方式完成的獲利。攻擊大致流程圖如下：

具體步驟如下：

利用閃電貸籌措攻擊所需初始資金。利用Yearn.Finance合約中漏洞，反復將DAI與?USDT?從3crv中存入和取出操作，目的是獲得更多的3Crv代幣。這些代幣在隨后的3筆轉換代幣交易中轉換為了USDT與DAI穩定幣。完成5次重復的DAI與USDT從3crv中存取操作后，償還閃電貸。CertiK安全技術團隊當前正在審查Yearn.Finance中存在的漏洞，更多漏洞細節將在后續分析中進行詳解。總結

加密世界的交互往往都伴隨著一定的風險，而投資于安全的項目會收到更加長遠的回報。

而高收益必定伴隨著高風險，此次漏洞的爆發同樣是DeFi領域的一個警示。

Tags：DEFIDEFEFIYEAMarhabaDeFiSDEFIJustDefiYearn Finance Network

USDT