本文由Certik原创，授权金色财经首发。
北京时间2022年4月28日10:40:14 ，CertiK审计团队监测到DEUS Finance的合约被恶意攻击，造成了约1570万美元（折合人民币约1.03亿）的损失。
攻击者恶意操纵DEI的价格，从DeiLenderSolidex合约中通过提供少量的抵押品提取了大量的DEI。
漏洞交易https://ftmscan.com/tx/0x39825ff84b44d9c9983b4cff464d4746d1ae5432977b9a65a92ab47edac9c9b5
攻击步骤
①攻击者部署攻击合约并向借贷池DeiLenderSolidex合约提供抵押。
ADAMoracle治理代币ADAO总奖励已分发近30亿:据官方消息，ADAMoracle已于2022年4月7日16:00（GMT+8）正式启动去中心化自治组织ADAO首期白名单和治理代币“阳光普照”计划。截至4月12日12时（GMT+8），50亿ADAO总奖励已分发近30亿，详情可见ADAMoracle官网。
据悉，ADAO是基于Web3.0并支持ADAMoracle加密数据计算网络的DAO平台，由ADAMoracle官方发起成立，其治理代币总量为100亿枚，宗旨是助力ADAMoracle全球化发展。[2022/4/12 14:19:52]
②随后攻击者利用攻击合约获得了超过143,200,000 USDC用以发起攻击。
③攻击合约将这143,200,000 个借得的USDC在USDC/DEI交易对池0x5821573中换为9,547,716个DEI，此举导致DEI的价格被大幅提高。
④由于DeiLenderSolidex合约是用预言机来确定用户抵押品的价值，而预言机合约使用被恶意操纵的交易对池的价格作为价格来源。因此通过提高的价格和之前提供的抵押，攻击者可从借贷池（DeiLenderSolidex）中总计借贷到17,246,885 DEI，这一数额远大于之前攻击者提供抵押的金额。
⑤攻击者用9,547,716个 DEI交换到的143,184,725 USDC来偿还闪电贷款，最终获取差价离场。
漏洞分析
通过闪电贷，攻击者能够操纵交易对的状态，并进一步操纵DEUS的预言机价格，以此利用不对等的价值借贷DEI。
资产去向
截至撰稿时，黑客已将攻击所得转到以太坊上并换成ETH，随后将5,446个ETH（总价值约1570万美元）存入Tornado Cash。
https://debank.com/profile/0x701428525cbac59dae7af833f19d9c3aaa2a37cb/history
写在最后
预言机合约不应该直接使用交易对池中的价格作为价格来源，而安全审计可以有效地避免这一风险。
CertiK安全专家建议：如果只有代币合约被审计，这种情况在审计过程中将会指出第三方依赖风险。项目应该避免直接从交易对池中获取价格。建议根据项目的逻辑，使用更值得信任的预言机：
使用多个可靠的链上价格预言机来源，例如Chainlink和Band协议。
使用时间加权平均价格（TWAP）。TWAP代表了一个代币在特定时间范围内的平均价格。因此如果攻击者仅操纵一个区块的价格并不会对平均价格产生太大的影响。
如果合约模式允许，将函数调用者限制在一个非合约/EOA地址。
闪电贷款只允许用户在一次交易中进行借贷。如果合约用例允许，可强制关键交易至少跨越两个区块。
4月23日,全球市值最高的运动品牌耐克（Nike）和加密时尚潮牌RTFKT推出了其首款基于以太坊的NFT运动鞋。 这款基于以太坊NFT的运动鞋全称为：RTFKT x Nike Dunk Genesis CryptoKicks,是数字可穿戴物品。显然,是为在元宇宙世界中使用而设计的。
这篇文章是基于我在Crypto, Culture, & Society的演讲上撰写的。Crypto, Culture, & Society是一个学习型DAO,它正在为加密货币建立一个人文学科教育。 尽管越来越多复杂的活动已经转移到了数字世界,但我们以数字原生方式进行协作的工具并没有以同样的速度发展起来。
CyberConnect构建了一个去中心化的社交图谱协议,为Web3社交网络和元宇宙提供服务。CyberConnect是将社交图谱数据的所有权和实用性归还给用户,同时为所有Web3开发人员提供集成和构建基础设施。
这是 Timshel 的一句话,他是 The Genesis 的创建者,一家创造性的企业,现在是一个建造在 Loot NFT 上并围绕 Loot NFT 的许多企业之一,被统称为 Lootverse。
树大招风,BAYC 又被盗了。 周一上午 10 点前,BAYC 官方 Twitter 账户披露了一起黑客入侵事件。在这之前,黑客已经利用该账户发布的网络钓鱼链接,从受害者的加密钱包中窃取了价值数百万美元的 NFT 。 美国4月26日凌晨1点,BAYC官方推特发文称：“今天早上,BAYC 官方 Instagram 账号被黑。
4月20日,全国首例NFT维权案件在杭州互联网法院正式宣判。 这一判决紧随“三协会倡议”之后,具有里程碑式意义。本案原告律师浙江垦丁律师事务所主任张延来坦言,“本案值得关注的亮点是采取了以飞洛印为代表的区块链电子存证工具作为取证手段,并且得到了法院的认可。
区块见闻