比特幣交易所 比特幣交易所
Ctrl+D 比特幣交易所
ads
首頁 > DOT > Info

Alpha Finance被盜3750萬美元事件回顧 黑客掌握了內部信息_ALPH

Author:

Time:1900/1/1 0:00:00

AlphaFinance被盜3750萬美元事件回顧黑客掌握了內部信息

巴比特資訊

剛剛

16

DeFi的黑暗藝術仍然是最有利可圖的。

下面是我們至今遇到過最具戲劇性的故事之一。

一個虛假魔術,混亂及指控的故事,導致了迄今為止最大的DeFi黑客事件。

大約有3750萬美元資金在一起復雜的DeFi欺騙案中被盜,這次攻擊利用了多筆交易來突襲AlphaFinance的金庫,同時讓很多人相信是Cream的鐵金庫受到了影響。

這起謀殺案發生在一個有鏡子的大廳里,DeFi協議日益交織的性質,加上攻擊的復雜性,使得社區對誰是真正的受害者,以及誰該負責賠償感到困惑。

攻擊者的合約導致Homora代碼“相信”他們的惡意合約是他們自己的,目的是操縱系統中的內部債務數量。

這是協議和攻擊者之間的一場私人戰斗。被利用的合約尚未被公布,也未提供給用戶,這意味著他們沒有受到直接影響。我們還沒有看到過這樣一個明目張膽的內部作案,AlphaFinance很快指出,他們找到了一個“主要嫌疑人”。

如果合約還沒有準備好,為什么還要部署在主網上?

在混亂中,大玩家迅速采取行動來保護自己的資本。SBF從CreamFinance中提取了價值4億美元的FTT,三箭資本則向幣安發送了價值300多萬美元的ALPHA代幣,其唯一目的可能是出售掉它們。

Bitfinex Alpha:2022年將成為交易所BTC和ETH余額降幅最大的一年:12月20日消息,根據Bitfinex Alpha報告,上周數據傳遞出的信息是通脹正在減弱,但這個過程是緩慢的,而且美聯儲還沒有放松貨幣政策。美聯儲未來還會繼續加息,預計明年2月將再加息50個基點,3月將再加息25個基點。

在加密市場中,Bitfinex Alpha對波動率指標和歷史數據的分析表明,年底價格可能會出現波動,這是由交易量減少以及BTC波動率指數在大時間周期內持續橫盤所致。

在過去一周,超過7萬枚比特幣流入鯨魚錢包,但隨著更多的資金從交易所轉移出去,并不意味著看漲BTC價格,而是被視為對中心化交易所的信心危機。這一模式證實了Bitfinex Alpha一年來看到的趨勢,但在FTX崩盤后這種趨勢有所加劇。2022年將成為歷史上交易所的BTC和ETH余額降幅最大的一年。[2022/12/21 21:57:11]

與這次攻擊相關的所有代幣的價值均出現了下降。

AlphaHomora治理令牌ALPHA從2.25美元跌至1.78美元。

IronBank治理代幣CREAM從288.32美元跌至193.51美元。

AAVE,其提供了這次攻擊所需的閃電貸功能,它的治理代幣從當天的518美元跌至492美元的低點。

然而,代幣定價并不是這個故事中最有趣的方面。

Binance與BWT Alpine F1車隊達成合作,將向社區空投28萬枚ALPINE:2月15日,據官方消息,Binance宣布與BWTAlpineF1車隊(原雷諾車隊)達成合作,Binance將成為BWT AlpineF1車隊的官方粉絲Token合作伙伴和Alpine Esports合作伙伴。AlpineF1車隊粉絲Token(ALPINE)是一種BEP-20實用型Token,將首先通過BinanceLaunchpad啟動。

此外,Binance宣布將向BWT AlpineF1車隊社區、BNB持有者和Binance Fan Token持有者(包括LAZIO、PORTO和SANTOS)發放共計28萬枚ALPINE空投。Alpine是雷諾集團旗下品牌,其賽車在耐力賽和拉力賽方面多次取得突出成績,獲得廣泛認可。自2021賽季起,雷諾集團旗下的F1車隊更名為AlpineF1車隊。[2022/2/15 9:53:30]

AlphaFinance團隊發布了一篇出色的調查報告,而他們的發現是驚人的。我們聯合調查的結果表明,腐敗的程度比預期的要嚴重得多。

AlphaFinance是否會公開他們的指控還有待觀察,但他們最初關于有主要嫌疑人的聲明表明,影響正在到來。

從官方調查報告來看,我們可以看出,攻擊者需要知道以下信息才能實施攻擊:

HomoraBankv2為即將發布的版本部署了一個sUSD池子,這一版本既沒有在UI上提供,也沒有公開發布。

Interlay已發布PolkaBTC Alpha測試網:金色財經報道,據區塊鏈技術開發商Interlay的官方博客,11月30日,Interlay開發的基于波卡區塊鏈的BTC平行鏈“PolkaBTC”的Alpha測試網已上線。首個測試網版本允許用戶發布和兌換他們的首個PolkaBTC,并將比特幣測試網連接到PolkaBTC測試網。PolkaBTC將允許用戶將1:1比特幣支持的資產鑄造到PolkaBTC上,并在廣泛的應用程序中使用它們,包括去中心化交易所、穩定幣和貸款協議。[2020/12/1 22:39:44]

sUSD借貸池中沒有流動性,因此攻擊者可以完全操縱和夸大總債務金額和總債務份額;

借用函數計算中存在舍入錯誤計算,僅當攻擊者是唯一借用者時才會產生影響;

resolveReserve函數可以在不增加totalDebtShare的情況下增加totalDebt,而實際上任何人都可以調用用于將收入收集到儲備池的函數;

HomoraBankv2接受任何自定義spell,只要不變量檢查出collateral>borrow;

在這么多用戶的注視下,搶劫者留下了清晰的線索,在罕見的反擊行動中,受害者將襲擊者挑了出來。

上述要求證明,實施這一攻擊需要內幕信息。然而,由于涉及協議和審計公司的范圍,內幕人士可能有多個可能。

AlphaWallet Victor:H系列資產是中心化信任錨點的方便高效的去中心化資產:9月29日,在以“DeFi再去中心化新基建”為主題的直播活動中,AlphaWallet CEO Victor Zhang 表示CoFiX協議本身是去中心化的,無需可的。各種優秀的H系列資產都可以通過NEST預言機在鏈上生成無套利機會的價格,然后用戶就可以基于CoFiX協議進行做市和資產交易。

Victor Zhang認為,DeFi不會是對CeFi的替代,會是各自做自己擅長的部分,雙方將完整覆蓋不同用戶的不同需求,比如價格發現需要計算系統對于市場信息作出無限高的快速反應,這個是CeFi最擅長的;去中心化資產,需要中心化信任錨點(方便高效如H系列資產)或者去中心化跨鏈技術。[2020/9/29]

rekt不再是在做指控的生意,但我們期待著看到AlphaFinance如何處理這種情況。

以下是AlphaFinance表述的經過:

攻擊者制造了一個邪惡的spellhttps://etherscan.io/tx/0x2b419173c1f116e94e43afed15a46e3b3a109e118aba166fcca0ba583f686d23

攻擊者將ETH交換成UNI,并將ETH+UNI提供給Uniswap池子。在同一筆交易中,在Uniswap上交換ETH->sUSD,并將sUSD存入Cream的IronBankhttps://etherscan.io/tx/0x4441eefe434fbef9d9b3acb169e35eb7b3958763b74c5617b39034decd4dd3ad

基于波場公鏈開發的預言機項目AlphaLink將于今晚8點首發JustSwap:據官方發推稱,基于波場公鏈開發的預言機項目AlphaLink(ANK)將于今晚8點首發JustSwap,代幣名稱為ANK,合約地址更改為TCsxTt938mi536b4PMweLK4y4EJUjzL574,同時項目稱也在極配合JustSwap官方進行項目真實性核實行動,以此確保用戶購買的是真ANK。[2020/8/19]

使用邪惡的spell調用execute到HomoraBankV2,執行:借用1000e18sUSD,將UNI-WETHLP存到WERC20,并在此過程中用作抵押品,攻擊者擁有1000e18sUSD債務份額https://etherscan.io/tx/0xcc57ac77dc3953de7832162ea4cd925970e064ead3f6861ee40076aca8e7e571

再次使用邪惡spell調用execute到HomoraBankV2,執行:償還100000098548938710983sUSD,導致償還份額比總份額少1。結果,攻擊者現在有1minisUSD債務和1份債務份額。https://etherscan.io/tx/0xf31ee9d9e83db3592601b854fe4f8b872cecd0ea2a3247c475eea8062a20dd41

調用sUSD銀行的resolveReserve,產生19709787742196債務,而totalShare仍為1。當前狀態:totalDebt=19709787742197,而totalShare=1https://etherscan.io/tx/0x98f623af655f1e27e1c04ffe0bc8c9bbdb35d39999913bedfe712d4058c67c0e;

再次使用邪惡spell調用execute到HomoraBankV2,執行:借入19709787742196美元并轉移給攻擊者。每次借入都比totalDebt值小1,導致相應的借入份額=0,因此協議將其視為無債務借入。在交易結束時,攻擊者向Cream的IronBank存入19.54sUSD。https://etherscan.io/tx/0x2e387620bb31c067efc878346742637d650843210596e770d4e2d601de5409e3

繼續這個過程:再次使用邪惡的spell調用execute到HomoraBankV2,執行。在交易結束時,攻擊者將1321sUSD存入Cream的IronBank,https://etherscan.io/tx/0x64de824a7aa339ff41b1487194ca634a9ce35a32c65f4e78eb3893cc183532a4;

通過Aave的閃電貸借入1,800,000USDC,然后將這1,800,000USDC換成1770757.5625447219047906sUSD,并存入Cream以使攻擊者有足夠的流動資金使用自定義spell借款,繼續將sUSD借款翻番,從1322.70sUSD增加到677223.15sUSD。將1353123.59sUSD換成1374960.72USDC,從Cream借入426659.27USDChttps://etherscan.io/tx/0x7eb2436eedd39c8865fcc1e51ae4a245e89765f4c64a3200c623f676b3912f9

重復步驟8,這次金額大約是1000萬USDC,https://etherscan.io/tx/0xd7a91172c3fd09acb75a9447189e1178ae70517698f249b84062681f43f0e26e;

重復1000萬USDC,https://etherscan.io/tx/0xacec6ddb7db4baa66c0fb6289c25a833d93d2d9eb4fbe9a8d8495e5bfa24ba57

借款13244.63WETH+360萬USDC+560萬USDT+426萬DAI,向Aave供應穩定幣,向Curvea3Crv池子供應aDAI、aUSDT以及aUSDC,https://etherscan.io/tx/0x745ddedf268f60ea4a038991d46b33b7a1d4e5a9ff2767cdba2d3af69f43eb1b

將a3CrvLP代幣添加到Curve的流動性gaugehttps://etherscan.io/tx/0xc60bc6ab561af2a19ebc9e57b44b21774e489bb07f75cb367d69841b372fe896

其余的交易將資金發送到TornadoCash以及GitCoinGrants,其中有1000ETH被發送到Cream和Alpha的部署者地址。

這個故事很獨特,也令人生疑。

當涉及到白帽子/黑帽子的活動時,我們總是期待看到角色轉換,但是我們很少看到受害者如此清楚地指責。

幾周前促成Yearn和AlphaHomora合作的AndreCronje在談到這次攻擊時寫道:

“花點時間研究了這次攻擊,9筆交易,4種不同的操縱,其中一種包括精確的債務計算,這需要研究團隊花費數小時才能弄清楚,Alpha立即采取了措施來緩解漏洞問題,在發現該問題后的幾分鐘內就解決了它。”

而Banteg的回復是:

“這個事件絕對是瘋狂的,不可能有人隨便看看合約,尤其是那些未經宣布的東西,就能發現這一點。”

也許這會導致另一起Yearn收購案,Cronje的名字在調查報告中被提到了4次,而且這個模式看起來確實很熟悉。。。

匿名黑客的時代還能持續多久?

由于可能的嫌疑犯名單非常小,因此更容易排除和追蹤潛在的攻擊者,在這種情況下,名單范圍甚至比平常更小。

在處理代碼時,“Don’ttrust,verify”是一句極好的口號,但它并不能阻止日益增長的社會偏執癥。我們正經歷一個加密貨幣和DeFi前所未有的增長時期,在這個時期,不工作的成本是非常高的。DeFi開發者的精神負擔與日俱增。

帝國是建立在代碼行之上的,金融的未來就在我們眼前。

開發人員陷入了競爭,而腐敗的內部人員則幫助黑客在地下工作,在他們的基礎上挖洞。

當一座塔倒塌時,其他的塔都會看著并學習。在塵埃落定之前,人群已經開始前進,而堅韌的的團隊會重返賽場,以尋求更強的實力。

在不可避免的錯誤導致他們的匿名斗篷掉下之前,他們還能維持多長時間?

注:原文來自rekt

網絡攻擊

DeFi

文章作者:灑脫喜

我要糾錯

聲明:本文由入駐金色財經的作者撰寫,觀點僅代表作者本人,絕不代表金色財經贊同其觀點或證實其描述。

提示:投資有風險,入市須謹慎。本資訊不作為投資理財建議。

金色財經>區塊鏈>AlphaFinance被盜3750萬美元事件回顧黑客掌握了內部信息

Tags:ALPUSDALPHAALPHalpha幣有投資價值嗎dusd幣哪個交易所有AlphaKlimaAlphaLink

DOT
萬億美元市值的比特幣會歸零嗎?萬一崩盤會否沖擊金融體系_數字資產

來源:澎湃新聞作者:葉映荷若市值萬億美元的比特幣崩盤,會引起金融危機嗎?2月22日,或受美國財政部長耶倫言論影響,比特幣價格出現了瀑布式下跌,從58000美元左右一度跌至最低48000美元以下.

1900/1/1 0:00:00
春節薦讀丨憑什么說NFT會火_AND

2020年絕對是DeFi之年,DeFi項目備受人們追捧,但火爆之后伴隨著的卻是迅速消退。為延續DeFi熱度,不少項目方和投資者把目光投向了DeFi+NFT的玩法,讓NFT這一小眾市場出圈整個加密.

1900/1/1 0:00:00
預測|交易費降低99%后的DeFi生態會怎樣?_IMI

2月22日晚間,比特幣從最高58000美元盤中一度跌破48000美元,跌幅達17%,帶動加密貨幣市場劇烈調整,受此影響,截止至22日23時,ETH鏈上未確認交易筆數超15萬筆.

1900/1/1 0:00:00
一文看懂耶倫隔夜表態:比特幣極其低效 支持研究數字美元_AND

原文標題:《一文看懂耶倫隔夜表態:支持提高公司稅,比特幣極其低效,支持研究數字美元》2月22日周一,美國財長耶倫參加了紐約時報組織的線上活動,在這場信息量巨大的討論中.

1900/1/1 0:00:00
首發 | 《數字資產金融市場2020年終報告》_DEFI

報告正文: 綜述:??區塊鏈技術在金融領域成功落地在疫情沖擊全球經濟、各國央行全力救市的大背景下,頭部數字貨幣資產得到避險(抗通脹避險需求)資本青睞的同時DeFi(去中心化金融)生態也全面爆發.

1900/1/1 0:00:00
金色晨訊 | 2月24日隔夜重要動態一覽_比特幣

21:00-7:00關鍵詞:美聯儲主席、比特幣、DeFi1.美聯儲主席重申將保持利率接近零直到充分就業和通脹上升到2%;2.美聯儲主席:寬松貨幣政策將繼續存在;3.

1900/1/1 0:00:00
ads