注:北京時間11月15日凌晨,去中心化金融協議Value DeFi遭遇閃電貸攻擊,攻擊者透過複雜的方式從Value協議的金庫中轉移走了大約700萬美元,隨後歸還了200萬美元,並附上了一條帶有嘲諷意味的資訊:“你們真的懂閃電貸嗎?”,而在攻擊發生前一日,Value DeFi公開宣稱自己是DeFi領域最安全的協議,並且能夠抵抗閃電貸攻擊。
原文來自rekt,作者對這次攻擊進行了分析。
他們真的理解閃電貸(flashloan)嗎?
聲譽的價值是不穩定的,謙虛能夠帶來穩定,而吹噓太多,最終只會搞砸。
Value DeFi今天因為閃電貸攻擊被黑了700萬美元,這又是一次關於閃電貸的慘痛教訓。
駭客攻擊前的代幣價格 - 2.73美元
駭客攻擊後的代幣價格 - 1.87美元
讓人啼笑皆非的是,在駭客攻擊前一天,專案方釋出了這樣一條推文:
(這條推文後來被刪除了,但我們的截圖還活著。)
儘管Value DeFi 團隊大膽宣稱自己的協議很安全,但他們似乎並不知道提款不僅可以透過主合約進行,還可以透過代理從金庫合約中提取。
Value DeFi使用了Curve現貨價格作為預言機。
而攻擊的詳細步驟如下:
操縱發生在第5步和第6步。
第七步的取款使用了錯誤的Curve函式進行數學運算;
功勞來自@emilianobonassi
功勞來自@FrankResearcher
15:24- 這次攻擊選擇了對Value DeFi團隊非常不利的時間點,時間是在他們要開始一次AMA活動的20分鐘前。
在15:41,一名使用者提問為什麼協議鎖倉值(TVL)出現了下降,當天早些時候,Value DeFi鎖倉值一度超過了1100萬美元。
到了15:49,人們的擔憂越來越大,而協議團隊成員則告知大家這是一個UI漏洞。
然後在15:49,有人在聊天室放出了etherscan連結。
價值700萬美元的Value DeFi金庫資金被轉移,之後攻擊者歸還了200萬美元,並附上了下面這樣一段話:
“你們真的理解閃電貸?”
在16:00,就在AMA即將開始的時候,Stani Kulechov釋出了以下這條推文,告知了大家發生了什麼。
同時,在AMA活動中;
Value團隊在16:05的時候,在Discord聊天室承認了這次攻擊,而AMA的問題持續了40分鐘,討論的都是無關主題,直到……
$FARM、$AKRO以及$VALUE都成為了閃電貸的受害者,它們因為弱協議而遭到了嚴厲的教訓,並且攻擊者都透過返回一些金額來表達一些“善意”。
這些攻擊是想要教我們什麼嗎?
閃電貸在DeFi領域是一個有爭議的話題,近幾個月來,它們一直是很多攻擊及漏洞的主要原因,但是可以說,閃電貸只是在加速我們的學習過程,並有助於消除薄弱的協議。
如果沒有閃電貸,未來也可能會有“鯨魚”能夠這樣做,我們最好就在去中心化金融(Defi)的起源階段經歷這個過程,因為準備冒險的人每天都在試驗、嘗試和釋出新產品。
閃電貸是來教導那些冒進者的,告訴他們為何要謙卑,它們處在DeFi的頂點,這在其他任何地方都是不可能的,閃電貸是DeFi這項技術帶來的新功能的完美例子。
這是DeFi的一個特性,而不是對程式碼的利用。
最強大的協議不會受這些攻擊的影響,有些甚至能夠從中受益。
可以說,閃電貸強行提高了DeFi開發者的門檻。
在新標準得到滿足之前,人們和協議會遭到攻擊,這將是痛苦的,而它也將是公開的,但正因為如此,我們需要學習。DeFi將變得更強,我們將為未來的使用者開發更好的實踐、更強的程式碼以及更安全的環境。