買比特幣 買比特幣
Ctrl+D 買比特幣
ads

BTC:DeFi 出現嚴重信任危機:繼 Uniswap 后,Lendf Me 2500 萬美元被盜,網友笑稱其為“黑客提款機”!_USDBTCs是不是黃了

Author:

Time:1900/1/1 0:00:00

黑客越來越“猖狂”了。

據外媒報道,4月19日上午,國產DeFi借貸協議Lendf.Me被曝遭受黑客攻擊,據悉,黑客利用imBTC的ERC777合約漏洞來實現重入攻擊,Lendf.Me損失了大約2500萬美元。據安全公司透露,dForce團隊追回這筆損失的可能性微乎其微,目前dForce團隊正在定位被攻擊原因,并在網頁端建議所有用戶停止往Lendf.Me協議存入資產。而在今日上午,攻擊者目前共向DeFi借貸協議Lendf.Me歸還38萬枚HUSD、320枚HBTC和12.6萬枚PAX,并留下紙條:“下次好運”。

網友也笑稱其為“黑客提款機”。

什么是Lendf.Me?

可能很多童鞋對Lendf.Me是什么還很陌生,所以在這之前,雷鋒網先帶大家了解下Lendf.Me是什么。

簡單來說,Lendf.Me是dForce旗下的一個借貸協議。

據其官網介紹,dForce是一個基于區塊鏈的去中心化金融和貨幣協議平臺,同時也是第一個獲得世界領先商業銀行戰略投資的穩定幣和DeFi協議平臺,旨在為開放式金融應用程序提供底層基礎設施。團隊核心成員來自高盛、渣打、花旗、弘毅等頂尖金融機構的精英人員和數字貨幣行業的早期參與者。

Terra鏈上DeFi鎖倉量突破180億美元,創歷史新高:12月21日,據DefiLlama數據顯示,當前Terra鏈上DeFi鎖倉量達181.2億美元,創歷史新高,在公鏈中排名第2位。

目前,鎖倉量排名前5的公鏈分別為以太坊(1528.7億美元)、Terra(181.2億美元)、BSC(166.2億美元)、Avalanche(122.5億美元)、Solana(115.7億美元)。[2021/12/21 7:53:37]

2019年9月,dForce首個由社區開發者主導開發的去中心化借貸協議Lendf.Me正式發布。據其官網介紹,Lendf.Me是基于全球資金池模式的去中心化貨幣市場,可以為用戶提供靈活、便捷的理財和貸款服務,其中包括:

USDx生息:活期理財,隨存隨取;USDx貸款:抵押ETH,獲得USDx貸款。針對存款方:

DeFi聚合理財服務SIL.Finance合約出現高危漏洞:據PeckShield派盾監測,3月18日晚,DeFi聚合理財服務SIL.Finance用戶不能提現,并且在3月19日用戶提現后資產大幅減少。PeckShield派盾安全人員快速定位并追蹤發現,該問題源于SIL.Finance合約出現一個高危漏洞。 PeckShield派盾提示投資者謹慎投資。[2021/3/19 18:59:51]

將USDx存入http://Lendf.Me獲取利息收入;閑置資金活期理財,更高收益、更低風險、更好的流動性。針對借貸方:

避免賣幣套現錯失資產升值的用戶:不用變賣手上的數字資產,通過抵押的方式參與USDx借貸,通過支付少量的貸款利息,獲取更高的資產增值。需要更多資金投資優質資產的用戶:通過資產抵押的方式獲取流動現金,投資于優質標的,加快資產增長速度。值得注意的是,用戶通過Lendf.Me進行USDx存款不收取任何費用;申請USDx貸款只需要承擔0.05%的一次性手續費。

那么,黑客又是如何對其攻擊的呢?

Lendf.Me2500萬美元被洗劫一空

據外媒ZDnet報道,黑客似乎把不同區塊鏈技術的漏洞和合法功能聯系在一起,精心策劃了一場復雜的“重入攻擊”。而重入攻擊允許黑客在原始交易被批準或拒絕之前,在一個循環中反復提取資金。

DeFi 概念板塊今日平均跌幅為0.22%:金色財經行情顯示,DeFi 概念板塊今日平均跌幅為0.22%。47個幣種中24個上漲,23個下跌,其中領漲幣種為:AMPL(+6.09%)、TRB(+5.94%)、YFII(+4.46%)。領跌幣種為:HDAO(-7.71%)、PEARL(-7.12%)、LBA(-4.94%)。[2020/12/26 16:33:23]

盡管該攻擊的細節尚未透露,但值得注意的是,在1月份,Lendf.Me與imBTC集成。4月18日,imBTC在Uniswap去中心化交易所的流動池被攻擊,導致價值約30萬美元的代幣損失。

通過初步分析,安全研究人員認為Uniswap和Lendf.me手法類似,極有可能是同一伙人所為。

Uniswap和Lendf.me的相似之處在于,這兩個平臺都在使用:Lendf.me協議、imBTC和ERC-777。

雷鋒網了解到,imBTC是imToken推出的以太坊區塊鏈上的BTC代幣,ERC777是在ERC20基礎上推出的代幣標準,兼容ERC20,并在ERC20的基礎上增加了一些新的特性。

imBTC本身并沒有安全問題。但ERC-777代幣與Lendf.Me合約組合,就會產生重入攻擊漏洞。

BKEX Global將于9月15日10:00開啟DeFi挖礦寶第七期申購:據BKEX Global公告,BKEX Global將于2020年9月15日10:00~2020年9月16日16:00(UTC+8)開啟DeFi挖礦寶第七期申購,最小申購額度為1,收益周期為3天。DeFi挖礦寶是BKEX結合當下DeFi流動性挖礦而推出的非保本浮動收益理財,本期用戶通過使用NXM、wNXM參與申購,即可獲得DeFi類代幣為獎勵的收益。[2020/9/14]

正是如此,黑客才能利用漏洞,在Lendf.Me上重復鑄造出了6700多枚假的imBTC,并以此為抵押,將Lendf.Me上的資產洗劫一空,并立即不斷通過1inch.exchange、ParaSwap、Tokenlon等DEX平臺將盜取的幣兌換成ETH及其他代幣,還將其余部分贓款轉入了借貸平臺Compound和Aave。

截止目前,Lendf.Me2500萬美元被洗劫一空,雖然攻擊者今日歸還了部分,但依舊杯水車薪,同時其安全性也受到業內同行的質疑。

當前DeFi中鎖定資產總價值達26.69億美元:金色財經報道,據DeBank數據顯示,DeFi中鎖定資產總價值達26.69億美元,Compound以6.95億美元排在首位、Maker鎖定資產總價值6.27億美元、Synthetix鎖定資產總價值為4.72億美元。

注:總鎖倉量(TVL)是衡量一個DeFi項目使用規模時最重要的指標,通過計算所有鎖定在該項目智能合約中的ETH及各類ERC-20代幣的總價值(美元)之和而得到。[2020/7/17]

Compound創始人Leshner在Lendf.Me被盜一事發生后,也立即發推特表示:

“如果一個項目無法足夠專業,無法構建自己的智能合約,而是直接復制,或者在他人智能合約的基礎上稍作修改,那么他們實際上沒有考慮安全性問題的能力或者意愿。希望開發者和用戶能從lendf.Me事件中吸取教訓。”

dForce創始人楊民道也立即發聲明稱:目前團隊正在積極補救,包括:

1.與頂尖安全團隊合作,對Lendf.Me進行更為全面的安全評估;

2.與合作伙伴積極探討可行的解決方案。雖然我們遭遇了攻擊,但我們不會就此被打倒。

3.與主流交易所、OTC交易商、機構積極配合展開相關調查,竭盡全力追索被盜款項,追蹤黑客動態。

為此,安全研究人員也解釋了DeFi為何總是被黑客攻擊:DeFi的最大特性在于其開放性:一是對用戶的開放性,二是合約間的開放性,所以DeFi只要有一個模塊出了問題,可能就會拖垮整個生態,因此極易成為黑客的攻擊目標。從今年年初的bZx攻擊事件再到Uniswap和dForce的攻擊事件,已經充分說明黑客已經掌握了DeFi系統性風控漏洞的要害,充分利用DeFi的可組合性對DeFi接二連三地實施攻擊。

所以安全研究人員建議DeFi開發者們在代碼層面不斷作出改進和更新,不要一位地追求DeFi產品的高組合性,同時也應該注重不同DeFi產品在安全上的可匹配性。

附dForce聲明:

2020年4月19日,dForce生態里的貨幣市場Lendf.Me遭遇黑客攻擊,導致市值約兩千五百萬美金的資產從合約里被取出。

北京時間早9:15分左右,我們通過內部監控系統發現了黑客的異常轉賬行為。隨即我們暫停了Lendf.Me和USDx合約,并臨時關閉網站以對黑客活動進行調查。現在調查仍在進行中,我們已經掌握了部分有關黑客的信息,目前來看黑客已經停止攻擊。

此次黑客攻擊主要是利用imBTC資產ERC777標準的漏洞進行了重入攻擊。回調機制允許黑客反復將偽造的imBTC作為抵押物借出款項。

截至發稿,黑客試圖聯系我們,我們也表達了溝通的意愿。

此次攻擊傷害到的不僅僅是我們的用戶、合作伙伴,同時也嚴重傷害了我、我的合伙人以及整個團隊的利益。我個人也在本次黑客攻擊中遭到了嚴重的經濟損失。

這次意外是我的失誤,我有勇氣面對接下來的挑戰。雖然不一定能完全規避該類惡性事件的發生,但我們本該采取更好的預防措施。我會盡全力改善目前的狀況,同時也真誠地向我們的用戶、投資人、合作伙伴道歉,對不起,我們讓大家失望了。

我們將于北京時間2020年4月20日23:59分前,向社區提供進一步的說明解釋。

自事發至今,我們一直努力在尋求妥善的解決方案,包括:

1.與頂尖安全團隊合作,對Lendf.Me進行更為全面的安全評估;

2.與合作伙伴積極探討可行的解決方案。雖然我們遭遇了攻擊,但我們不會就此被打倒。

3.與主流交易所、OTC交易商、機構積極配合展開相關調查,竭盡全力追索被盜款項,追蹤黑客動態。

雖然此次黑客攻擊對我們造成了嚴重的傷害,但我們不會就此一蹶不振。自事發起至今,我收到了無數的慰問、鼓勵和支持。我對dForce社區給予我們的關懷與幫助深表感激,我們也將繼續努力奮戰,不會放棄任何希望。

dForce創始人

楊民道

雷鋒網雷鋒網雷鋒網

參考資料:

https://decrypt.co/26033/dforce-lendfme-defi-hack-25m

https://www.zdnet.com/article/hackers-steal-25-million-worth-of-cryptocurrency-from-uniswap-and-lendf-me/

https://www.theblockcrypto.com/linked/62346/multicoin-capital-backed-defi-protocol-dforce-loses-25m-total-locked-value-in-an-exploit

https://www.coindesk.com/attacker-drains-decentralized-protocol-dforce-of-25m-in-weekend-attack

https://mp.weixin.qq.com/s/wRiWOZKRfpQfAwwJ2K9-sg

https://github.com/OpenZeppelin/exploit-uniswap

Tags:BTCdForceUSDBTCs是不是黃了btc錢包官網btc短線交易騙局dForce幣是什么幣USD幣USD價格

歐易okex官網
以太坊:海上“孤島”:遠洋船員的奇險漂流_比特幣

船上靜得出奇,只能聽到遠處海鳥的哀鳴,船員們心照不宣地中斷了聚餐、打乒乓球、看電視等娛樂活動,船長胡月祥通過望遠鏡頻繁眺望海上情況,駕駛員不敢有絲毫松懈.

1900/1/1 0:00:00
EMB:曾印面值100萬億紙幣,新貨幣去掉13個0,這個國家新10元紙幣來了_EMBEMB幣

來源:EMBA微金 據新華社,津巴布韋儲備銀行日前發表聲明稱,將發行大面額貨幣,緩解現金短缺局面。 這是津巴布韋儲備銀行5月15日公布的10元和20元面值的新津巴布韋元票樣.

1900/1/1 0:00:00
:組圖:威海乳山崖子鎮一個山村的實景,名字叫“申家”_

這組圖片仍是膠東村莊故事系列,要介紹的村莊位于威海乳山市崖子鎮境內,名字叫做“申家”。 Stably Corporation在Polymesh鏈上推出穩定幣Stably USD:金色財經報道,總.

1900/1/1 0:00:00
TEAM:小升初!南開中學有三大校區,家長們了解嗎?_TEA價格TEAM幣

小升初!是孩子們走向中學最重要的一步!童青網推出的《小升初,讀懂學校》特別報道,將一一解讀被人們稱為“七龍珠”的一、三、八、巴蜀、育才、重外、西師附中等7所學校“小升初”情況.

1900/1/1 0:00:00
EVO:穿越火線:5月掌火積分版塊新更新!14號之前可獲得永久天蝎!?_EVO幣是什么幣

哈嘍,小伙伴們,很高興又和大家見面啦。今天小編又收到了一條關于5月掌火積分新更新的信息,這不,第一時間就來和大家分享了,趕快來看一下吧! 14號是一個分割點 在5月的掌火積分版塊兌換中有了新的變.

1900/1/1 0:00:00
APP:朝鮮促韓推進涉反朝傳單立法,否則將落實解除朝韓軍事協議_APP

近日,朝鮮統一戰線部發言人發表談話,譴責“脫北者”從韓國往朝鮮方向散布反朝傳單以及韓方對此事的應對處理,并表明若韓方不采取相應措施,朝方將關閉位于開城工業園區的朝韓聯絡辦公室.

1900/1/1 0:00:00
ads