DeFi协议是如何被黑客攻击的?

对几十次黑客攻击的分析确定了去中心化金融领域的主要载体和典型漏洞。

去中心化金融领域正在以惊人的速度增长。三年前,DeFi锁定的总价值仅为8亿美元。到2021年2月,这一数字已增至400亿美元;2021年4月,它达到了800亿美元的里程碑;现在,它的价值已经超过1400亿美元。一个新市场的如此快速增长,肯定会吸引各种黑客和欺诈者的注意。

根据加密货币研究公司的一份报告,自2019年以来,DeFi领域因黑客和其他漏洞攻击而损失了约2.849亿美元。从黑客的角度来看,对区块链生态系统的黑客攻击是一种理想的致富手段。因为这种系统是匿名的,他们有钱可赚,而且任何黑客都可以在受害者不知情的情况下进行测试和调整。在2021年的前四个月,损失达到了2.4亿美元。而这些只是公开知道的案例。我们估计真正的损失达到了数十亿美元。

比特币矿商Mawson将推迟所有主要资本支出:金色财经报道,比特币矿业公司Mawson Infrastructure Group表示将暂停主要资本支出,直到市场条件恢复正常。此外,鉴于市场抛售和通货膨胀导致的高电价,该公司自愿减少能源使用。?

Mawson在6月收到了最后一批 Canann A1246 ASIC 比特币矿机,并且没有进一步的比特币矿机未付款项。

首席执行官兼创始人James Manning表示:尽管市场动荡,但 Mawson 目前仍在继续自我开采,并在适用的情况下参与能源需求响应计划。此外,我们很幸运没有购买 ASIC 比特币矿机的未完成合同,这使我们能够专注于开发我们的合作伙伴。

在最新的月度更新中,Mawson披露其拥有超过40,000 台专用集成电路(ASIC)比特币矿机。这些矿机的哈希率约为每秒3.35 exahash,约占比特币网络总哈希率的 1.675%。(Cointelegraph)[2022/6/29 1:38:45]

DeFi协议的钱是如何被盗的?我们分析了几十起黑客攻击事件,确定了导致黑客攻击的最常见问题。

ETH跌破370美元关口 日内跌幅为0.89%:火币全球站数据显示,ETH短线下跌,跌破370美元关口,现报369.91美元,日内跌幅达到0.89%,行情波动较大,请做好风险控制。[2020/9/13]

任何攻击都主要从分析受害者开始。区块链技术为自动调整和模拟黑客攻击的场景提供了许多机会。为了使攻击快速而隐蔽,攻击者必须具备必要的编程技能和智能合约工作原理的知识。黑客的典型工具包允许他们从网络的主要版本中下载自己的区块链的完整副本,然后对攻击过程进行全面调整,就好像交易发生在真实的网络中一样。

接下来,攻击者需要研究项目的业务模式和使用的外部服务。业务逻辑的数学模型和第三方服务的错误是最常被黑客利用的两个问题。

智能合约的开发者在交易时需要的相关数据往往超过他们在任何特定时刻可能拥有的数据。因此,他们被迫使用外部服务——例如,预言机。这些服务并不是为在去信任的环境中运作而设计的,所以它们的使用意味着额外的风险。根据一个统计数据(自2020年夏天以来),既定类型的风险占损失的比例最小——只有10次黑客攻击,造成的损失总额约为5000万美元。

智能合约在IT领域是一个相对较新的概念。尽管它们很简单,但智能合约的编程语言需要一个完全不同的开发范式。开发人员往往根本不具备必要的编码技能,并犯下严重错误,导致用户的巨大损失。 

安全审计只能消除这类风险的一部分,因为市场上的大多数审计公司对他们的工作质量不承担任何责任,只对财务方面感兴趣。由于编码错误,超过100个项目而被黑客攻击,造成的总损失约为5亿美元。一个鲜明的例子是发生在2020年4月19日的dForce黑客事件。黑客利用ERC-777代币标准中的一个漏洞,结合重入攻击,偷走了2500万美元。

提供给智能合约的信息只在执行交易时相关。在默认情况下,合约不能幸免于对其中包含的信息进行潜在的外部操纵。这使得一系列的攻击成为可能。

闪电贷是一种没有抵押物的贷款,但需要在同一笔交易中归还所借的加密货币。如果借款人未能归还资金,交易将被取消。这种贷款允许借款人收到大量的加密货币并将其用于自己的目的。通常情况下,闪电贷攻击涉及价格操纵。攻击者可以先在交易中卖出大量借来的代币,从而降低其价格,然后在买回代币之前,以非常低的价值执行一系列行动。

矿工攻击类似于基于工作量证明共识算法的区块链上的闪电贷攻击。这种类型的攻击更加复杂和昂贵,但它可以绕过闪电贷的一些保护层。它的工作原理是这样的。攻击者租用挖矿能力,形成一个只包含他们需要的交易的区块。在给定的区块内,他们可以首先借用代币,操纵价格,然后归还借用的代币。由于攻击者独立形成了进入区块的交易,以及它们的顺序,攻击实际上是原子性的(不能将其他交易“嵌入”到攻击中),就像闪电贷的情况。这种类型的攻击已经被用来攻击100多个项目,损失总额约为10亿美元。

随着时间的推移,黑客的平均数量一直在增加。在2020年初,一次盗窃金额就高达数十万美元。到今年年底,这个数字已经上升到数千万美元。

最危险的风险类型涉及人为错误因素。人们为了寻求快速赚钱而求助于DeFi。许多开发人员资质很差,但仍试图在匆忙中推出项目。智能合约是开源的,因此很容易被黑客复制和改动。如果原始项目包含前三种类型的漏洞,那么它们就会蔓延到数百个克隆项目中。RFI SafeMoon是一个很好的例子,因为它包含一个关键的漏洞,被复制到一百个项目上,导致潜在损失超过20亿美元。

文:GUEST AUTHORS

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

区块博客

Uniswap一文了解Aave Arc:能否打开机构全面采用DeFi的闸门?

Aave与Compound和MakerDAO一样,仍然是使用率最高的DeFi借贷协议之一。最近,Aave和其他著名的协议都在寻求降低交易成本的解决方案,以实现零售用户之间更好的互动。4月初,Aave在Polygon上部署,Polygon是与以太坊并行运行的侧链变体,被称为“提交链”。

AAVE全面解析开源跨链NFT协议Rarible Protocol

8 月 13 日,NFT 市场 Rarible 宣布推出一套开源工具(称为「Rarible Protocol」),以极大地简化 NFT 项目和想法的上线流程。 从头开始创建 NFT 项目并非易事——Rarible.com 团队知道这一点。达到我们今天的位置需要经历无数次迭代和挫折,以及克服市场挑战(例如引导供需)的毅力。

ETHNFT之于Web3.0:个人数据价值回归的关键

Web3.0的愿景是打造一个开放的,人人都可以参与、无需授权、去中心化的网络,而NFT的稀缺性、唯一性和可验证性,是让个人在Web3.0落地实现数据价值回归的关键。 Web3.0是对下一代互联网的一种设想和设计,是鉴于Web2.0的「垄断状态」下,作出变革,实现开放、去中心化、完全透明、无需第三方验证,赋予任何用户都参与网络的权利。

[0:31ms0-6:413ms