NCE:CertiK：还原Yearn.Finance被攻击始末_Chainge Finance

2月5日消息，据DeBank数据显示，DeFi真实锁仓量突破470亿美元，创下历史新高，本文撰写时为478.3亿美元，约等于3095亿人民币。

2020年被称为“DeFi元年”，DeFi在Compound首创的“流动性挖矿”推动下获得了历史性的大爆发，然而其安全风险居高不下。北京时间2月5日凌晨，CertiK安全技术团队发现DeFi项目Yearn.Finance发生攻击事件，攻击总损失高达约7100万人民币，黑客从中获利约1800万人民币。黑客通过闪电贷获得攻击启动资金，利用Yearn项目代码漏洞，完成整个攻击。

ZKN跨链应用Cering将于9月11日发布:据官方消息，ZKN跨链应用Cering将于9月11日发布，Cering跨链聚合平台是ZireKing集团去中心化金融战略布局的落地，也将为NFT元宇宙生态板块中的唯一通证ZKN不断赋能。Cering支持任意异构链和同构链接入和交易，能完整兼容各种跨链技术和标准。[2021/9/4 22:59:57]

攻击者获利数目截图

Aave与Balancer合作推出Balancer V2资产管理器:借贷平台Aave和自动做市商（AMM）Balancer合作推出了具有混合流动性和借贷功能的Balancer V2资产管理器。（cointelegraph）[2021/2/24 17:46:13]

此次攻击总计包括11笔利用漏洞获利交易以及3笔转换代币交易，交易列表如下：

yinsure.finance将提供Balancer等相关保险产品，无需KYC/AML:yearn.finance在推特发布yinsure.finance更新信息（目前请勿使用）：涵盖Balancer、Compound、Curve、Synthetix和yearn.finance的保险合约部署，无需KYC/AML。以NFT（基于ERC721）的形式将保险单代币化。承保人是Nexus Mutual。根据官方昨日的推文，yinsure.finance正在针对这些产品完成测试和实际演练，然后将面向有限的用户开放。

yearn创始人Andre Cronje表示，保险单代币化意味着可以由一般市场进行风险调整。这也意味着分销商可以在二级市场上购买和转售，同时允许将来有其他基于保险的衍生产品。

据此前报道，8月17日，Cronje宣布推出去中心化的保险类服务原型yinsure.finance，将于接下来的几周里系统性地发布产品。该产品将包含三个核心部分：承保人金库、投保人金库和索赔治理。承保人金库的保险服务是由流动性提供方（LP）提供的，但是可以获得相关的费用作为收入。首个上线的承保人金库是yiUSDC，首个提供的投保人金库是yVault中的yUSD（包裹的yCRV）资产。[2020/8/30]

除开3笔转换代币交易之外，剩余11笔获利交易均针对同一个漏洞，使用相同的攻击方式完成的获利。攻击大致流程图如下：

具体步骤如下：

利用闪电贷筹措攻击所需初始资金。利用Yearn.Finance合约中漏洞，反复将DAI与?USDT?从3crv中存入和取出操作，目的是获得更多的3Crv代币。这些代币在随后的3笔转换代币交易中转换为了USDT与DAI稳定币。完成5次重复的DAI与USDT从3crv中存取操作后，偿还闪电贷。CertiK安全技术团队当前正在审查Yearn.Finance中存在的漏洞，更多漏洞细节将在后续分析中进行详解。总结

加密世界的交互往往都伴随着一定的风险，而投资于安全的项目会收到更加长远的回报。

而高收益必定伴随着高风险，此次漏洞的爆发同样是DeFi领域的一个警示。

标签：NCECERFINNANChainge FinanceDSOCCERTomatos.financeKhaos Finance

DYDX热门资讯