区块见闻 区块见闻
Ctrl+D收藏区块见闻

黑客攻同源漏洞 「团灭」Fork协议

作者:

时间:

2021年5月,加密资产市场颇为动荡,BTC从5万美元上方最低跌至29000美元,几近腰斩,大多数加密资产最大跌幅超过50%。

二级市场巨震之下,链上生态也不太平。5月份,DeFi市场发生至少13起黑客攻击事件,多集中在币安智能链(BSC)上,折损资金达到2.7亿美元,超过了2020年所有DeFi安全事件的资产损失。BSC官方认为,一个有组织的黑客团队盯上了BSC。

为何BSC链上项目集中失窃?黑客又如何做到快速捕捉项目漏洞?区块链安全公司PeckShield发现,很多被攻击的项目都存在同源漏洞。

比如,在BSC收益聚合器PancakeBunny被攻击后,Fork(分叉)自PancakeBunny的AutoShark和Merlin Labs在接下来的一周内接连失窃;而被攻击的BurgerSwap和JulSwap,代码都是Fork自Uniswap,但它们似乎在进行改动时产生了漏洞。

PeckShield相关安全负责人告诉蜂巢财经,这些Fork出的协议被攻击主要是在没有完全理解原协议背后的逻辑下,进行微创新,导致一个小的更新或小的组合就可能产生漏洞。

屡次发生的安全事件再度给协议开发者提了个醒,在进行DeFi的模式创新时,不应忽视底层代码的安全性。

屋漏偏逢连夜雨。在加密资产市场跌势不止时,链上协议的安全事故频发。

新加坡副总理发布《金融服务业转型地图(ITM)2025》:金色财经报道,新加坡副总理兼财政部长兼新加坡金融管理局(MAS)副主席黄循财先生今天发布了《金融服务业转型地图(ITM)2025》。ITM 2025制定了进一步发展新加坡作为亚洲领先国际金融中心的增长战略。

其中包括,探索分布式账本技术在有前景的用例(如跨境支付、贸易融资和资本市场)中的潜力。

支持金融和实体经济资产的代币化(例如,Project Guardian是金融服务部门的一项合作倡议,旨在探索资产代币化的经济潜力和增值用例)。

实现数字货币连接(例如,如果新加坡金融管理局决定在未来发行数字新加坡元,Project Orchid旨在建立必要的技术基础设施和能力)。[2022/9/15 6:59:02]

5月30日,BSC上的稳定币兑换协议Belt Finance遭遇闪电贷攻击,损失620万美元。根据区块链安全公司PeckShield的追踪,此次攻击源于攻击者在PancakaSwap完成8笔闪电贷后,通过重复买入卖出BUSD,利用bEllipsisBUSD策略余额计算中的漏洞操纵beltBUSD的价格进行获利。

被攻击后,Belt Finance就闪电贷攻击事件发推致歉并发表报告,其表示将进行进一步审计,并将在48小时内发布用户补偿计划。

受此影响,Belt Finance治理代币BELT大幅下跌,从28日的58美元高点跌至27美元,短期跌幅达到53.44%。

MDX突破9.5美元关口:火币全球站数据显示,MDX短线上涨,突破9.5美元关口,现报9.5006美元,日内涨幅达到2.16%,行情波动较大,请做好风险控制。[2021/2/23 17:42:05]

这已是5月份第12个被攻击的BSC链上项目。蜂巢财经统计,自5月2日以来,Spartan Protocol、Value DeFi、BearnFi、Venus、PancakeBunny等项目接连失窃,共计损失2.7亿美元资金,Value DeFi更是两次遭攻击。

BSC被攻击项目一览

2.7亿美元的资产损失已经超过了2020年所有DeFi安全事件的损失。根据此前PeckShield发布的数据,2020年DeFi安全事件达到60起,损失逾2.5亿美元。

短短一个月时间,BSC链上连续不断遭到黑客光顾,显得颇为蹊跷。压力之下,BSC官方不久前在社交平台发文称,最近已经接连发生超过8起针对BSC链上项目的闪电贷攻击,「我们认为现在有一个有组织的黑客团队盯上了BSC。」

BSC官方呼吁所有DApp防范风险,建议链上项目与审计公司合作进行健康检查,如果是分叉项目,需反复检查相对原始版本进行的更改;采取必要的风险控制措施,实时主动监控异常情况,一旦出现异常及时暂停协议;制定应急计划,以防出现最坏的情况;如果条件允许可设定漏洞赏金计划。

BitMax上线MANTRA DAO (OM):BitMax交易所将于8月25日 22:00(北京时间)上线MANTRA DAO (OM)并开放OM/USDT交易。充提现已开放。

为支持MANTRA DAO (OM)上线BitMax,平台将联合MANTRA DAO团队开启限时上线福利活动并同步开启OM staking 预体验活动,并有35,000 USDT等值福利活动!更多详情请至BTMX官网查询。[2020/8/25]

的确,复盘12起安全事件,闪电贷攻击是黑客最常用的手段。Spartan Protocol、PancakeBunny、Bogged Finance、BurgerSwap、JulSwap等项目都是闪电贷攻击的受害者。

需要明确的是,闪电贷本身并非是一种攻击手段,它只是一种高效的借贷模式,能够放大任何人的本金。正如Chainlink CMO Adelyn Zhou所言,「闪电贷不会在DeFi内部产生漏洞——它只是揭示了已经存在的漏洞。」

在DeFi经过了高速发展后,BSC上仍有如此多项目在短时间内暴露出漏洞,令链上用户感到心惊。不禁要问,为什么这些安全事件集中爆发在BSC链上?又为何黑客能够快速找到这么多项目的漏洞并实施攻击?

今年以来,BSC异军突起,作为以太坊的侧链,它凭借更高效的交易处理效率和低廉的手续费,吸引了大量的项目和链上玩家入驻,巅峰时期,其链上总锁仓价值超过344亿美元,是仅次于以太坊的第二大DeFi集结地。

BSC生态的快速崛起,抢占链上先发红利,大量项目扎堆部署。由于此前,以太坊上大多项目已经开源,不少开发者采用了Uniswap、Curve等成熟项目的开源代码,经过简单修改后便在BSC上快速上架。而这种匆忙地Fork(分叉)成了BSC链上项目成批量被黑客攻击的隐患。

据PeckShield披露,近期被攻击的BurgerSwap和JulSwap,代码都是Fork自Uniswap。PeckShield指出,「但它们似乎并没有完全理解Uniswap背后的逻辑。」

根据事发后BurgerSwap的报告,攻击者自发「假币」,随后与协议的原生代币BURGER形成交易对,改变了后者的价格。很显然,分叉自Uniswap的BurgerSwap在某些方面不够成熟,被黑客钻了空子。

Fork协议的来源不仅是以太坊,BSC链上一些早期协议应用也被后来者Fork上链。AutoShark和Merlin Labs两个聚合器协议,皆因Fork了PancakeBunny被黑客洗劫。从时间线来看,5月20日,PancakeBunny遭到闪电贷攻击,此次攻击源于攻击者利用该协议操纵了LP Token BNB-BUNNY和BNB-BUSDT的价格。

看到PancakeBunny被攻击后,AutoShark发文强调自己的安全性,表示其做了4次代码审计,其中2次正在进行中。但打脸接踵而至,仅仅4天后,AutoShark遭遇闪电贷攻击,其代币SHARK瞬间下跌99%。根据PeckShield的分析,此次攻击手法与PancakeBunny被攻击的手段相似。

被打脸的还有Merlin Labs,在被攻击前,它也曾发文表示已经反复执行代码的审核,为潜在的可能性采取了额外的预防措施。但5月26日,黑客就「乘胜追击」,洗劫了Merlin Labs。

PeckShield认为,这是攻击PancakeBunny后的模仿案,攻击者都不需要太高技术和资金的门槛,只要耐心地将同源漏洞在Fork出的协议上重复试验,就能捞上可观的一笔。「Fork 的 DeFi 协议可能尚未成为 Bunny 挑战者,就因同源漏洞损失惨重,被嘲笑为『顽固的韭菜地』 。」

此外,在Belt Finance被攻击的案例中,黑客利用了bEllipsisBUSD策略余额计算中的漏洞,操纵了beltBUSD的价格,而Ellipsis则Fork自以太坊知名协议Curve。

PeckShield相关安全负责人告诉蜂巢财经,这些Fork的协议被攻击主要是在没有完全理解原协议背后的逻辑,进行微创新,导致一个小的更新或小的组合就可能产生漏洞。

该负责人表示,从已知的漏洞下手是攻击者对尚处发展阶段的DeFi领域常用的「觅食」方法。对于项目方来说,对DeFi 协议安全的重视,不是嘴上说说而已,而是要做到「吾日三省代码」:协议上线前有没有做静态审计?其他协议遭到攻击后,有没有自查代码,检查是否出现类似漏洞?交互的协议有没有安全风险?

从上述案例来看,BSC链上一批项目集中失窃,主要是黑客找到了多个协议的同源漏洞,只需模仿攻击手段,就能「举一反三」,在短时间内完成对多个项目的剽窃。

屡次发生的安全事件也给协议开发者提了个醒,在进行DeFi的模式创新时,不应忽视底层代码的安全性。

对此,PeckShield建议,新合约上线前要进行审计,也需要注意排查与其他DeFi产品进行组合时的业务逻辑漏洞。同时要设计?定的风控熔断机制,引?第三?安全公司的威胁感知情报和数据态势情报服务,完善防御系统。「所有DeFi协议都存在变数,即使?个协议进行了多次审计,?个小的更新也会使审计变得无用,因此即使?个小的更新都要重新进行审计。」

标签:BSCDEFIDEFFORKBBSCDeFinitionDay Of DefeatFORK价格

比特币最新价格热门资讯
比特币是藏在特斯拉内部的“炸弹”

事情的开始看起来就像是一场鲁莽的注,随着加密货币的走势逐渐疯狂,情况看起来也越来越离谱。 今年年初,埃隆·马斯克用特斯拉的15亿美元现金购买比特币,引发各界关注。随着加密货币比特币的价格飞涨,特斯拉的持币价值比买入时上涨超过13亿美元,尽管最近有所回落,特斯拉的账面利润仍然不错,只是获利收窄。 不过,财经媒体和华尔街分析师都没有注意到某些不利因素。

DeFi“黑色5月”启示:欲速则不达 创新大于“Fork”

今年5月是DeFi历史上被攻击次数最多、损失最大的一个月。在5月发生的与?DeFi?相关的25起安全事件中,闪电贷攻击事件最多,大约有?11?起,此外,BSC是被攻击次数最多的平台,遭到了15起攻击。

金色趋势丨知史鉴今 牛市低吸机会?

目前BTC是否已经见牛市终极大顶?我们可以看看BTC长期走势,下方为对应的RSI曲线走势,研究可以看出,在BTC历史上前三轮牛市中,2011年、2013年和2017年牛市,每一轮牛市,随着价格一路向上,RSI都有拉升超过警戒线数值90上方两次的机会。

用区块链技术进行胚胎可视化 仁济医院为国内首家

原文标题:《用区块链技术进行胚胎可视化 仁济医院为国内首家》 央广网上海6月2日消息(记者杨静)“传承创新,见证生命”上海交通大学医学院附属仁济医院生殖医学中心智慧医疗MyBaby区块链项目上线启动会在该院北院区举行。 新上线的MyBaby项目具有可信任性、安全性和不可篡改性。

比特币最惨月跌去37% 以太坊仍值得关注?

今天早上挤地铁过安检时机器就一直在响,安检员搜了半天也没发现金属,最后才发现原来造成异响的是我持币人那钢铁般的意志。

牛市赚再多 也扛不住重重陷阱?

很多朋友因失误操作踩坑众多陷阱,导致财产损失严重,更有甚者在牛市中归零,真的是惨不忍睹。 今天给大家举几个典型的例子,希望大家可以引以为戒,避开这些陷阱。 前段时间,有朋友交易平台的资产被盗,损失惨重。