DeFi面臨四面楚歌？Inverse Finance被盜取約1500萬美元_EFI

2022年4月2日，成都鏈安鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示，InverseFinance項目遭受攻擊，累計損失估計大約1500萬美元。成都鏈安技術團隊第一時間對此事件進行了相關分析。

#1分析如下

攻擊地址1：

0x117c0391b3483e32aa665b5ecb2cc539669ea7e9

攻擊地址2：

灰度：DeFi是一種新興的加密貨幣創新，它超越了銀行:金色財經報道，灰度發布《灰度DeFi入門》報告，報告指出，去中心化金融（DeFi）是一種新興的加密貨幣創新，它超越了銀行，超越了邊界，創造了一個新的互聯網原生全球金融生態系統。DeFi已經開始重塑全球金融和電子商務。數字貨幣，云經濟平臺，和金融生態系統是到目前為止最引人注目的階段。比特幣的區塊鏈實現了可信的價值交換；以太坊的計算機實現了數字商業的法律協議；DeFi的開放API實現了一個全球銀行生態系統。每一個都提供了一個建筑塊，以實現一個更強大的以互聯網為基礎的全球社會。從歷史上看，隨著加密貨幣經濟的擴張，最近的一波增長最為迅速。DeFi也遵循這一趨勢。[2021/12/30 8:13:35]

0x8b4c1083cd6aef062298e1fa900df9832c8351b3

Messari首席執行官：美國加稅計劃或推動投資者會轉向DeFi:Messari首席執行官Ryan Selkis表示，因拜登政府提議的將資本利得稅從目前的23.8％上調至43.4％，投資者可能會轉向DeFi。Selkis稱，意外的后果之一可能是，從長期和中期來看，更多的資本被鎖定在這個加密生態系統中。最終，這將使整個類別的資產受益。Selkis解釋道，投資DeFi資產能夠借用現有的加密資產獲得收益，而不是出售它們并觸發應稅事件。此外，至于當前的比特幣修正，Selkis稱，逢低買入可能會帶來新的買家潮。（The Daily Hodl ）[2021/4/26 20:58:08]

攻擊交易hash:

DeFi平臺YIELD籌集490萬美元:金色財經報道，旨在減少進入去中心化金融（DeFi）市場的步驟的新平臺YIELD已籌集了490萬美元的資金。 YIELD允許用戶通過一個應用程序對數字資產、智能合約和協議進行投資。[2020/12/11 14:51:55]

0x20a6dcff06a791a7f8be9f423053ce8caee3f9eecc31df32445fc98d4ccd8365

0x600373f67521324c8068cfd025f121a0843d57ec813411661b07edc5ff781842

攻擊合約：

0xea0c959bbb7476ddd6cd4204bdee82b790aa1562

首先攻擊者從Tornado.Cash取出900ETH為拉高INV代幣價格做準備。

攻擊者使用300個ETH，兌換出374個INV代幣，再用200ETH兌換1372個INV代幣，累計兌換1746個INV代幣，這里可以發現第一個池子用300個ETH只兌換出374個INV，而后面卻使用200ETH兌換出1372INV代幣，第一個池子WETH/INV中的INV價格已經明顯被拉高。

在計算Xinv代幣價格時，依靠WETH/INV(0x328dfd0139e26cb0fef7b0742b49b0fe4325f821)這個pair去計算。因為pair這個池子已經被操縱了，再加上timeElapsed間隔時間短，那么攻擊者需要滿足不在當前區塊調用，就可以利用操縱的價格，那么就可以操縱xINV代幣的價值。

可以看到當攻擊操縱了pair之后，就不停的發送mint交易，用于確保自己能夠最大化利用時間窗口。同時，攻擊者巧妙的避開了操縱價格的區塊去mint，不然將會使用操縱價格區塊的前面區塊去計算價格。

然后攻擊者直接把自己持有的1746INV代幣全部mint，換取1156個xINV代幣，再依靠持有的xINV借出大量代幣。

Inversefinance?項目方累計損失估計大約在1500萬美元。

在此，成都鏈安建議項目方使用足夠長的時間窗口，例如可以參考以下Uniswap的示例代碼，timeElapsed必須大于24小時以上。

Tags：INVEFIDEFDEFIINVE幣DeFi Pulse IndexAmun DeFi Momentum IndexModefi

Filecoin