注：本週六，DeFi協議Pickle Finance因其Jar策略中存在的漏洞，而被駭客盜走了2000萬美元，此後，由Rekt、Stake Capital 團隊成員、samczsun等白帽駭客組成的臨時小隊對Pickle協議內剩餘易受攻擊的5000萬美元使用者資金進行了搶救，作者Rekt對這次事件進行了總結。
金融的發酵還在繼續，即使是酸黃瓜也有保質期。
Pickle Finance因為一個假“Pickle jar”漏洞而被駭客盜走了1970萬DAI。
Pickle Finance已成為了這次駭客大流行病的最新受害者。
然而，這一次，有一些不同...
當Twitter上的人們試圖接受另一次金融災難時，Rekt 開始了調查。
我們聯絡了Stake Capital 團隊，他們檢視了程式碼並警告我們其他Pickle jar可能面臨風險。
隨後，我們迅速聯絡了Pickle Finance團隊，並在Sketch Capital（@bneiluj，@vasa_developer）成員以及有經驗的開發者@samczsun，@emilianobonassi之間建立了一個作戰室。
在我們進行調查後，很明顯，我們看到的是與最近幾周的DeFi樂高風格駭客事件非常不同的東西。
這不是一次套利。
攻擊者對Solidity和EVM有著很好的瞭解，並且可能已經密切關注了一段時間的Yearn程式碼，因為這個漏洞與一個月前在Yearn中發現的漏洞類似。
從本質上說，Pickle Jar就是Yearn yVaults的分叉，這些Jar是由一個名為the Controller的合約控制的，該合約具有允許使用者在Jar之間交換資產的功能。
不幸的是，Pickle並沒有設定白名單允許哪個Jar使用這個交換功能。
駭客製造了一個假的Pickle Jar，並交換了原Jar中的資金。這是有可能的，因為swapExactJarForJar沒有檢查“白名單”jar。
Pickle Finance團隊知道他們需要幫助，並非常願意與其他人合作，以防任何進一步的損害。
Pickle曾試圖呼叫“withdrawAll”函式，但這筆交易失敗了。
這個取款請求需要透過治理DAO，而這存在12個小時的時間鎖（timelock）。
只有一個Pickle多重簽名組的成員有能力繞過這個時間鎖，而當時他們正在睡覺。
這意味著管理者無法清空Pickle Jar，但這並不能保護他們免受另一次駭客攻擊。
隨後，Pickle Finance和Curve發出警告，要求使用者立即從Pickle中提取資金，然而，潛在易受攻擊的Pickle jar中還有5000萬美元，而白帽團隊調查了這一漏洞，並檢查了剩餘資金的安全性。
救援小隊要麼叫醒睡著的管理員，要麼自己抽乾這些jar內的資金。
這個小隊必須克服5大挑戰：
讓Pickle Finance團隊跨多個時區聚集在一起，透過將交易推到12小時時間鎖（透過6個多重簽名中的3個）提取資金，以拯救這些資金；
讓成千上萬的投資者提出他們的資金（並阻止他們在資金池TVL下降和APY膨脹到1000%以上時再進行再投資）；
對其他jar進行安全檢查，看看是否有可能發生更多攻擊；
在任何人再次攻擊這些jar之前，複製這種攻擊，將資金轉移出來；
在試圖挽救剩餘的5000萬美元資金時，避免被搶先交易；
我們還能繼續依賴偽匿名白帽駭客的幫助多久？
顯然，與保護者相比，攻擊者的動機更為一致，那白帽駭客為什麼要協調這樣一次艱苦的反擊？
榮譽歸白帽，資金卻歸駭客，這是不可持續的。
要讓這些白帽變黑，還需要多久時間？
分析
透過釋出這些技術資訊，我們意識到我們可能會引發新的駭客攻擊。我們與Pickle Finance及其他開發人員討論了潛在的後果，並確認我們不知道Pickle的任何運營分叉可能會受到模仿攻擊的影響。
選擇性披露會帶來責任的一個方面，所以我們決定自由釋出這些資訊。如果有任何協議在執行Pickle的程式碼分叉，他們應該要意識到正在發生的事件，並採取預防措施來防止駭客模仿者。
下面的圖表是由@vasa_develop建立的。
原始檔案可以在這裡找到。
關於更多詳情，請參閱此處官方的調查報告。
看看相對較新的保險協議Cover Protocol如何處理這一事件是有趣的，這對他們的第一筆索賠來說是一筆巨大的金額。你可以在這裡找到保險索賠的快照投票。
醃漬酸黃瓜是一個緩慢的過程。
幾十年來，“敏捷開發”的倡導者一直在告訴開發人員，要快速行動，迅速失敗，併發布最小的可行產品。
這些想法不適合在敵對環境中建設。
在DeFi中迅速失敗是要付出巨大代價的。
我們不需要另一種方法，我們需要一個正規化轉換，允許快速迭代，同時減少被攻擊的可能性。
我們不要再認為“擁有審計就擁有了安全的保證”，在大多數情況下，它是應用於移動目標的檢查表式安全措施的快照，這些目標通常在專案進入主網後不久就演變成了其他東西。
MixBytes（10月3日）和Haechi（10月20日）的審計是在新增ControllerV4（10月23日）之前完成的，而ControllerV4是這次攻擊的關鍵向量之一。
未來金融界最偉大的團隊，將是那些能夠在快速迭代和安全迭代之間進行權衡的團隊，其能夠定期對其可組合的貨幣機器人進行持續審計和嚴格測試。
審計應該是一個定期的、持續的過程，而不是在啟動前打勾。新的DeFi協議會不斷變化和適應，而安全審計應反映這一點。
畢竟，醃黃瓜只有在罐子裡才能保持新鮮...
