CAKE:收益聚合器 Aperocket 多鏈閃電貸攻擊的「困」與「破」

7 月 14 日，布局在 BSC 和 Polygon 鏈上的收益聚合器 Aperocket 在不到 12 小時的時間內先后遭到閃電貸攻擊。

據 PeckShield「派盾」追蹤和定位分析，雖然攻擊者兩次運用的攻擊手法不同，但都是源于 Aperocket 存在的收益通脹漏洞。

在 BSC 鏈上的 Aperocket 遭到攻擊后，其代幣 SPACE 的價格短時下跌 75%。

跨鏈收益聚合器Autofarm已部署至Harmony:金色財經報道，跨鏈收益聚合器Autofarm宣布已部署在Harmony上，在其平臺上引入了5個新的保險庫。Autofarm在一個多月內將部署的鏈數增加到11個。[2021/11/29 12:37:46]

Aperocket 是「Fork」此前遭到閃電貸攻擊閃崩，觸發一系列閃電貸攻擊多米諾的 PancakeBunny 的收益聚合器。

用戶通過質押 ApeSwap 的 LP Token、CAKE 或 SPACE 等代幣來獲得自動復合收益。

收益聚合平臺Angle Finance完成340萬美元機構融資:11月28日消息，基于POS資產的收益聚合協議Angle Finance近日宣布完成340萬美元的機構輪融資，參投機構有TricerTop Foundation、Aquaria Foundation、BlockLofty Ventures、Coldlab Capital、Bit9 Capital、Synix Capital等。Angle Finance將利用這筆資金落實新的產品計劃，并將于近期上線BSC主網，為用戶提供各類合成資產的流動性挖礦服務。[2021/11/28 12:37:39]

在此安全事件中，攻擊者質押 CAKE，獲得 CAKE 獎勵和 SPACE 代幣獎勵（Aperocket 的額外獎勵），利用 AutoCake:withdrawAll() 存在的漏洞獲利。

DeFi收益聚合器PancakeBunny增強協議安全性:官方消息，DeFi收益聚合器PancakeBunny表示，團隊修改了其協議，以最大限度地提高新產品發布的安全性。Qubit將是第一個根據增強的安全協議推出的產品。Bunny團隊正在為Qubit實施修訂后的啟動協議。Qubit已經在接受全面審計，預計審計將在9月初完成。因此，將推遲Qubit的發布，直到審計完成。作為修訂后的啟動協議的一部分，團隊將在BSC測試網上啟動 Qubit。據悉，Qubit Finance是一種DeFi借貸協議，由Qubit團隊開發。

此外，團隊已按照承諾向Mound Vault添加了1億個QBT代幣，價值500萬美元。

此前消息，Polygon鏈上PancakeBunny遭外部攻擊。[2021/7/19 1:02:42]

PeckShield「派盾」簡述 BSC 鏈上的攻擊過程：

創新性收益聚合平臺HOGT正在接受多家HECO白帽安全聯盟成員審計:據官方消息，創新性收益聚合平臺HOGT正在接受多家HECO白帽安全聯盟成員審計，預計于5月10日上線。

HECO白帽聯盟是由全球知名審計及安全機構聯合發起的第三方安全組織，聯盟成員將針對HECO項目安全審計、安全監督、安全追蹤進行有效協作，共建安全健康的HECO生態鏈。

HOGT是一個基于 HECO 的跨鏈DeFi生態服務平臺。用戶可在HOGT實現收益聚合、借貸、SWAP等一系列DeFi操作，更好的滿足用戶的DeFi需求。[2021/4/29 21:10:07]

首先，攻擊者從 PancakeSwap 借出兩筆閃電貸，共計 161.5 萬枚 CAKE；

然后將 50.9 萬枚 CAKE 存入資金池，這一步有助于攻擊者在后期調用 AutoCake 合約中的 WithdrawAll() 或 earned() 函數時，資金池會鑄造 SPACE 代幣；

由于第一次攻擊者將大量 CAKE 質押至資金池，這快速提高了它在該資金池的持股占比，使其能夠分得 90% 以上的 AutoCake 質押收益，即 CAKE 和 SPACE；

在完成前期工作將 CAKE 存入資金池之后，攻擊者進行了第二筆交易，將 110.5 萬枚 CAKE 質押到 AutoCake 合約中，調用 AutoCake 合約中的 harvest 函數觸發復投，相當于 CAKE 復利池的套娃版，質押 CAKE，可以挖到 CAKE，合約再把所獲 CAKE 自動質押到 CAKE 資金池中。

隨著合約計入的 CAKE 不斷增長，鑄造的 SPACE 就隨之增長。

最終，攻擊者返還閃電貸，獲利 883.5 BNB（合約 27.3 萬美元）。據 PeckShield「派盾」統計，攻擊者在 Polygon 上獲利約 100 萬美元。

自 2021 年第一季度，DeFi 市場呈現出多鏈生態迸發的趨勢，整個市場延續了 2020 年下半年強勁增長的勢頭，大多數指標都創下了歷史新高。

然而，隨著虛擬貨幣市場在第二季度后期回調，DeFi 領域也或多或少受到影響。各公鏈在爭奪流動性的同時，現有的 DeFi 協議也在探索和適應新興的運營方式—多鏈布局。

可觀的回報率有助于吸引流動性，但同時多鏈布局也對協議的安全性、安全響應速度提出更高要求。當安全事件發生時，不僅需要對已遭攻擊的漏洞進行第一時間排查，提出安全方案，同時要在一條鏈上發現潛在的漏洞時，第一時間去檢測另一條或多條鏈上的協議是否存在類似地問題，并及時預警社區，提出安全解決方案，避免關聯的有價資產曝露在風險中，有利于減小已知的、可能造成的更大損失。

在經過今年上半年與攻擊者的攻防戰中，PeckShield「派盾」發現，建立風控熔斷機制，引入第三方安全公司的態勢感知情報服務，第一時間響應安全風險，及時排查封堵安全攻擊，能夠有效減小閃電貸攻擊造成的損失。

隨著多鏈部署的興起，在處理安全事件時，要求協議參與方、專業的安全團隊比攻擊者更沉著冷靜，這本就是一場時間的爭奪戰，攻擊者不會停下來容我們反思，只有比攻擊者先想一步，哪怕是一小步，都有可能成為我們在這場爭奪戰中取得階段性勝利的一大步。

Tags：CAKEANCDEFDEFIKCAKE價格France Rev FinanceDEFITDeFinomics

波場