2020 年 3 月 Compound 推出“借贷挖矿”模式,让沉寂多时的币圈再次燥动起来。一位参与过 DeFi 挖矿的“矿工”表示,为了抢到头矿,他把赌注押在未经测试的代码上,“不管安不安全,先把头矿抢了。
开发者们更急,为了快速上线主网,从新发布的代码中获得最大收益,他们直接略过了安全审计的步骤。
那些稳如泰山的黑客们,也开始把握机会,凭借自身技术实力,伺机攻击那些没有做好安全预防措施的 DeFi 们。
进入11月,发生在DeFi协议上的攻击一起接着一起,DeFi 们俨然沦为黑客的取款机。据 PeckShield 统计,截至目前共发生 8 起与 DeFi 相关的安全事件,包括 Yearn Finance、Percent.finance、Cheese Bank、Origin Protocol、Akropolis 、Value DeFi 、YFV、88mph,造成损失逾 2100 万美元。
惊险时分:24小时发生两起攻击事件 损失近800万美元
11月17日,PeckShield 监控到 DeFi 协议 Origin Protocol 稳定币 OUSD 遭到攻击,攻击者利用在衍生品平台 dYdX 的闪电贷进行了重入攻击(Re-entrancy attack),造成价值 770万 美元的损失。
随后,11月18日,PeckShield 监控到 DeFi 固定利率借贷协议 88mph 存在代码漏洞,一名攻击者利用该漏洞铸造了价值 10 万美元 MPH 代币。
据悉,88mph 于 11 月 16 日上线主网,上线仅 48 小时就遭到了攻击。在 88mph 协议中,用户可通过存入加密资产赚取固定利息,并获得其原生代币 MPH,也可通过购买浮动利率的债券来获取 MPH 代币。
上线仅48小时后即遭伏击
通过重复操作这三个步骤,攻击者铸造了价值 10万 美元的 MPH 代币,并将其存入 Uniswap V2: MPH 4 池中。
利用另一漏洞侥幸逃过一劫
事实上,MPHMinter 合约还有一个漏洞,而开发者利用此漏洞侥幸逃过一劫,使得此次攻击暂未造成任何经济损失。
首先,开发者调用 takeBackDepositorReward 将所获 MPH 代币从 Uniswap V2: MPH 4 转移到 govTreasury(相当于 mph 的资金库),该函数没有设置门槛,任何人都可调用此函数将 MPH 代币转移到 govTreasury 中。
开发者编写的每一段代码,就如同工业生产中的螺丝钉一般,即使很微小,却与 DeFi 行业的兴衰成败紧密相连。
DeFi 的生态仍处于早期发展阶段,但区块链的核心价值在于普世的信任,如果 DeFi 们仍一味追求快速上线主网,忽视代码的审计安全,最终只能将社区成员的信任消磨殆尽,成为没有灵魂的躯壳。
版权声明:项目均采集于互联网, 戴诗东 无法审核全面,且希望大家能赚钱,请谨慎切勿上当受骗!
温馨提示:★★★天上真会掉馅饼!天道酬勤,都是机会!不错过每个空投糖果!真假难以辨认,尽量0撸!