COMP:首發 | CertiK：八千萬人民幣不翼而飛 Compounder.finance內部操作攻擊分析

八千萬人民幣的大案子，是不是想起了《人民的名義》里那一墻的人民幣？

在日常生活里，也許你不小心疏忽遺失了錢包也丟不了太多錢。但在加密貨幣的世界中稍有不慎，損失的金額也許是一把撒出去遮天蔽日的那種效果。

在層出不窮的礦坑中，一著錯漏，滿盤皆輸。往往項目擁有者與投資者一樣，心心念念記掛著自家項目的安全性。

但有一種情況是例外.....

北京時間12月1日下午3點，CertiK安全技術團隊通過Skynet發現Compounder.Finance項目位于0x0b283b107f70d23250f882fbfe7216c38abbd7ca地址處智能合約發生多筆大額交易。

CertiK安全技術團隊驗證后，發現這些交易是Compounder.Finance項目擁有者內部操作，將大量代幣轉移到自己的賬戶中。

陳茂波：虛擬資產需要有好的監管和規矩的運營:金色財經報道，香港財政司司長陳茂波在上海出席“從香港到世界：連接國家與世界的金融橋梁” 午餐會致辭中稱，香港會“大做”綠色金融、綠色科技，去年在綠色金融這一塊發行了大概800多億美元，債券發行量是全亞洲的三分之一，而且綠色債券也用代幣化來發，也是金融創新的一部分。另外一個新賽道是互聯網3.0，包括虛擬資產，這一塊在不同地方前陣子出了一些事情，香港總結經驗，原來出事的都是因為沒有好的監管，在運營上出現不規矩的運營，比方說把自己的錢跟客戶的錢混在一起，比方說自己是一個平臺，同時也做莊家，有利益沖突。香港從六月一日開始發牌，香港證監會（證券及期貨事務監察委員會）在實施有效的監管中讓負責人和持續發展。陳茂波還透露，在宣布發牌以后吸引了很多海內外有興趣來的企業，香港辦了兩、三個活動給業界交流，到來超過一萬人非常熱烈。[2023/7/8 22:25:54]

經統計，Compounder.Finance最終共損失約價值8000萬人民幣的代幣。

OKB跌破50美元:金色財經報道，行情顯示，OKB跌破50美元，現報49.97美元，日內跌幅達到6.67%，行情波動較大，請做好風險控制。[2023/2/22 12:21:00]

攻擊事件經過如下：

圖一：inCaseTokenGetStuck()函數

Compounder.Finance項目擁有者通過多次調用如圖一所示位于0x0b283b107f70d23250f882fbfe7216c38abbd7ca中的inCaseTokenGetStuck()函數，將代幣轉移到自己的指定的地址中。

調用該函數時，首先在1471行會檢查外部函數調用者是否為strategist或者governance角色地址，通過檢查于0x0b283b107f70d23250f882fbfe7216c38abbd7ca智能合約的strategist角色地址，發現與Compounder.Finance項目擁有者地址一致。

孫宇晨：火必Huobi 1：1持有用戶資產，平臺資產有充分儲備支持:1月22日消息，波場TRON創始人、火必Huobi全球顧問委員會成員孫宇晨發布多條推特詳解火必Huobi的確保用戶資產安全機制。孫宇晨表示，火必Huobi致力于保持其儲備持有做法的透明度。與其他一些交易所不同，火必Huobi不與第三方進行借貸業務。相反，交易所以1:1的比例持有客戶資產，確保平臺上的資金始終得到相應儲備的充分支持。這種直接持有儲備的方法增強了火必Huobi客戶的信心，并展示了交易所致力于保持最高透明度的決心。[2023/1/23 11:26:26]

圖二：Compounder.Finance:StrategyControllerV1中strategist角色地址

圖三:?項目管理者盜取代幣的交易舉例

昨日IMX解鎖逾2.5億枚，Immutable X的一地址轉移1.09億枚IMX至7個地址:金色財經報道，Lookonchain數據顯示，昨日Immutable X代幣IMX解鎖2.37億枚（總供應量的12.743%），Immutable X中的1個地址將1.09億枚IMX轉至7個地址，其中，Immutable X轉給0x7340開頭地址6830萬枚IMX，該0x7340開頭地址將4760萬枚IMX轉入Immutable X:Bridge，將120萬枚IMX轉入Coinbase，將1950萬枚IMX轉入一個新地址；Immutable X轉給0x971f開頭地址3183萬枚IMX，值得注意的是，4天前Immutable X將3.32億枚IMX轉移到了此地址；Immutable X轉給0x0749開頭地址670萬枚IMX，該地址在收到代幣后立即轉移至3個錢包。[2022/11/6 12:22:22]

項目管理者盜取代幣的交易列表:

CryptoPunk 6874以300ETH的價格從0xcffc33買入:金色財經報道，CryptoPunk 6874由0x33eaae以300ETH（約511815.01美元）的價格從0xcffc33買入。[2022/8/1 2:50:18]

●?https://etherscan.io/tx/0x9c75f70670d94e6d37f60a585f9b57d13193998d64866f720489efbea4809056

From?Compounder.Finance:StrategyControllerV1To?Compounder.Finance:Deployer?For6,230,432.06773805($458,310.58)?CompoundUni...(cUNI)

●?https://etherscan.io/tx/0x18e0efcaabe64299666fd78bb33dae2a4b25c6f11b469fc0498db714970cacfa

From?Compounder.Finance:StrategyControllerV1To?Compounder.Finance:Deployer?For1,934.23347357($745,530.95)?CompoundWra...(cWBTC)

●?https://etherscan.io/tx/0xf94de5a083f16700f4d26ec8ca3e03dc01889a54f472bf630079c54a77f033e6

From?Compounder.Finance:StrategyControllerV1To?Compounder.Finance:Deployer?For97,944,481.39815207($2,086,547.53)?CompoundUSD...(cUSDC)

●?https://etherscan.io/tx/0x0763afe207015ed7c1aa8858d2c092cf7b6a20397f2408bff20b044ef1901822

From?Compounder.Finance:StrategyControllerV1To?Compounder.Finance:Deployer?For105,102,172.66293264($2,159,301.01)?CompoundUSD...(cUSDT)

●?https://etherscan.io/tx/0x10d245e61e76c7bf44257985789463ed89f624a0d5ffc45cfa671b16a7113d77

From?Compounder.Finance:StrategyControllerV1To?Compounder.Finance:Deployer?For1,300,610.936154161964594323($1,521,714.80)?yearnCurve....(yyDAI+...)

●?https://etherscan.io/tx/0x57c61df91e46b191424bfdd9223f277457a07999b58420e3b540059aad3fc7fe

From?Compounder.Finance:StrategyControllerV1To?Compounder.Finance:Deployer?For8,077.540667($4,788,285.33)?WrappedEthe...(WETH)

當今DeFi市場中存在著項目擁有者權限過大，中心化程度過高的項目比比皆是。

目前對項目擁有者缺乏額外治理或者限制措施，由于此類原因導致的內部操作攻擊事件也逐漸增多。

此次事件造成損失巨大，攻擊技術細節簡單，更是為所有DeFi項目敲響了警鐘：

1.?當前DeFi市場中缺乏對項目擁有者進行有效限制的方法。

2.?投資者對該類安全風險主要還是依靠查找項目背書的方式來進行確認。

項目的安全與否不該依賴于項目擁有者或團隊自身的“選擇”，這樣的防范方式并不可行，從智能合約代碼層面對項目擁有者進行權限限制才能從根本上杜絕此類攻擊。

歡迎搜索微信關注CertiK官方微信公眾號，點擊公眾號底部對話框，留言免費獲取咨詢及報價。

來源：金色財經

Tags：COMPCOMOMPCompoundcomp幣價格今日行情ZT.comcompound幣最新消息Compound USD Coin

以太坊