簡析Bondly Finance：幫助NFT實現簡便的跨鏈交易_NCE

作者：秦曉峰，星球日報

隨著區塊鏈生態的拓展，跨鏈互操作性成為剛需。但目前絕大多數跨鏈方案多集中在代幣交易方面，NFT資產并不包括在內，一個名為「BondlyFinance」的跨鏈新玩家，試圖解決這些痛點。

BondlyFinance是一個可信任的、可移植的、透明的跨鏈交易協議，旨在幫助更多人進入去中心化金融市場，并推出了一系列NFT+DeFi?產品。

首先是?NFT創建、發行市場。BondlyFinance是最早與音樂家、有影響者合作的公司之一，其曾為兩屆全英音樂獎獲得者LewisCapaldi發行了「BigFatSexyCardCollection」NFT，還為油管網紅LoganPaul發行限量版NFT——該收藏品在不到30分鐘時間內售罄。目前，BondlyFinance正為Netvrk元宇宙出售虛擬土地，共計560塊。并且，NFT收藏者將能夠將他們的NFT資產從一個區塊鏈轉移到另一個區塊鏈，實現跨鏈交易。

慢霧：跨鏈互操作協議Nomad橋攻擊事件簡析:金色財經消息，據慢霧區消息，跨鏈互操作協議Nomad橋遭受黑客攻擊，導致資金被非預期的取出。慢霧安全團隊分析如下：

1. 在Nomad的Replica合約中，用戶可以通過send函數發起跨鏈交易，并在目標鏈上通過process函數進行執行。在進行process操作時會通過acceptableRoot檢查用戶提交的消息必須屬于是可接受的根，其會在prove中被設置。因此用戶必須提交有效的消息才可進行操作。

2. 項目方在進行Replica合約部署初始化時，先將可信根設置為0，隨后又通過update函數對可信根設置為正常非0數據。Replica合約中會通過confirmAt映射保存可信根開始生效的時間以便在acceptableRoot中檢查消息根是否有效。但在update新根時卻并未將舊的根的confirmAt設置為0，這將導致雖然合約中可信根改變了但舊的根仍然在生效狀態。

3. 因此攻擊者可以直接構造任意消息，由于未經過prove因此此消息映射返回的根是0，而項目方由于在初始化時將0設置為可信根且其并未隨著可信根的修改而失效，導致了攻擊者任意構造的消息可以正常執行，從而竊取Nomad橋的資產。

綜上，本次攻擊是由于Nomad橋Replica合約在初始化時可信根被設置為0x0，且在進行可信根修改時并未將舊根失效，導致了攻擊可以構造任意消息對橋進行資金竊取。[2022/8/2 2:52:59]

再者是?BONDSWAP，類似一些中心化交易平臺的場外交易功能，但該產品更多地專注于鏈上直接交易，而且能夠讓用戶使用不同區塊鏈并在各種聊天應用程序中發送交易。通過BSWAP，用戶可以：將自己手中的NFT與你想要的NFT或者代幣直接進行交易；在沒有滑點風險的條件下出售大量低流動性代幣；通過鑄造代幣，自主設置價格，然后將信息發布到社交媒體上以供受眾購買，聚合私域流量；使用借記卡/信用卡購買資產。

慢霧簡析Qubit被盜原因：對白名單代幣進行轉賬操作時未對其是否是0地址再次進行檢查:據慢霧區情報，2022 年 01 月 28 日，Qubit 項目的 QBridge 遭受攻擊損失約 8000 萬美金。慢霧安全團隊進行分析后表示，本次攻擊的主要原因在于在充值普通代幣與 native 代幣分開實現的情況下，在對白名單內的代幣進行轉賬操作時未對其是否是 0 地址再次進行檢查，導致本該通過 native 充值函數進行充值的操作卻能順利走通普通代幣充值邏輯。慢霧安全團隊建議在對充值代幣進行白名單檢查后仍需對充值的是否為 native 代幣進行檢查。[2022/1/28 9:19:19]

其次是?BOND?DEX，官方將為流動性提供者提供手續費以及代幣獎勵。BONDDEX的定價引擎會比較主要的跨鏈互換選項，并會用戶推薦利益最大化的交易途徑。通過BONDDEX，用戶可以：在以太坊上用?USDC?與波卡鏈上原生資產交易；獲得最便宜的交易路徑推薦；創建用戶自己的資產交易對。

Harvest.Finance被黑事件簡析:10月26號，據慢霧區消息 Harvest Finance 項目遭受閃電貸攻擊，損失超過 400 萬美元。以下為慢霧安全團隊對此事件的簡要分析。

1. 攻擊者通過 Tornado.cash 轉入 20ETH 作為后續攻擊手續費；

2. 攻擊者通過 UniswapV2 閃電貸借出巨額 USDC 與 USDT；

3. 攻擊者先通過 Curve 的 exchange_underlying 函數將 USDT 換成 USDC，此時 Curve yUSDC 池中的 investedUnderlyingBalance 將相對應的變小；

4. 隨后攻擊者通過 Harvest 的 deposit 將巨額 USDC 充值進 Vault 中，充值的同時 Harvest 的 Vault 將鑄出 fUSDC，而鑄出的數量計算方式如下：

amount.mul(totalSupply()).div(underlyingBalanceWithInvestment());

計算方式中的 underlyingBalanceWithInvestment 一部分取的是 Curve 中的 investedUnderlyingBalance 值，由于 Curve 中 investedUnderlyingBalance 的變化將導致 Vault 鑄出更多的 fUSDC；

5. 之后再通過 Curve 把 USDC 換成 USDT 將失衡的價格拉回正常；

6. 最后只需要把 fUSDC 歸還給 Vault 即可獲得比充值時更多的 USDC；

7. 隨后攻擊者開始重復此過程持續獲利；

其他攻擊流程與上訴分析過程類似。參考交易哈希：0x35f8d2f572fceaac9288e5d462117850ef2694786992a8c3f6d02612277b0877。

此次攻擊主要是 Harvest Finance 的 fToken(fUSDC、fUSDT...) 在鑄幣時采用的是 Curve y池中的報價(即使用 Curve 作為喂價來源)，導致攻擊者可以通過巨額兌換操控預言機的價格來控制 Harvest Finance 中 fToken 的鑄幣數量，從而使攻擊者有利可圖。[2020/10/26]

最后是?Bondly買家保護，類似Paypal、或是阿里巴巴AliPayExpress中的買方保護服務，但同時結合了Escrow.com和Zapper.fi的用戶體驗。該服務旨在用一個易于使用的API和智能合約驅動產品取代傳統網站托管加密托管產品，市場平臺可能仍然處于市場交易的"驗證者"角色，但現在他們無法直接獲得資金，降低了市場挪用以及詐騙跑路的可能性問題。對于加密市場中的每一位用戶來說，BPROTECT能夠對去中心化托管服務和代幣購買者提供最好的保護。

代幣方面，BONDLY平臺原生代幣，可以進行治理、Staking，還可以在Launchpad、IDO、獨家銷售等活動中獲得專屬權益。今年7月，BondlyFinance首席執行官賬戶遭遇黑客攻擊導致BONDLY代幣被盜砸盤，而后官方緊急部署新的代幣合約并采取多簽機制。

投資方面，今年9月，AnimocaBrands?宣布將收購BondlyFinance的多數股權。AnimocaBrands方面表示：“Bondly開發了強大的工具來幫助品牌和個人進入NFT世界，并與許多頂尖品牌和藝術家建立了深厚聯系。這些產品和關系將對AnimocaBrands和我們的投資組合公司大有幫助。”

Tags：ANCNCEUSDBONMinions FinanceVadia FinanceDUSDbonk幣能漲到多少

BNB