NET:創宇區塊鏈：Inverse Finance 慘遭攻擊，驚現巨額損失-ODAILY

前言

北京時間2022年4月2日晚，InverseFinance借貸協議遭到攻擊，損失約1560萬美元。知道創宇區塊鏈安全實驗室第一時間跟蹤本次事件并分析。

分析

基礎信息

攻擊tx1：0x20a6dcff06a791a7f8be9f423053ce8caee3f9eecc31df32445fc98d4ccd8365

攻擊tx2：0x600373f67521324c8068cfd025f121a0843d57ec813411661b07edc5ff781842

OPNX宣布已支持FTX、Celsius破產索賠交易:金色財經報道，在FTX與Celsius Network上持有資產的用戶現可在加密索賠和交易平臺Open Exchange（OPNX）上交易其債權。當用戶出售其索賠時，他們將收到平臺的原生代幣reOX或oUSD，這些代幣可以用作在OPNX上進行交易的抵押品。[2023/7/14 10:55:44]

攻擊者1：0x8B4C1083cd6Aef062298E1Fa900df9832c8351b3

攻擊者2：0x117C0391B3483E32AA665b5ecb2Cc539669EA7E9

OrBit Markets完成460萬美元天使輪融資，Matrixport領投:8月1日消息，加密期權和結構性產品的機構流動性提供商OrBit Markets完成460萬美元天使輪融資，Matrixport領投，Brevan Howard digital、New Form Capital、Maven 11和Westridge Markets參與本輪超額認購。這筆資金將用于加速公司專有技術的開發，同時使其能夠擴大業務范圍。

據悉，OrBit總部位于新加坡，為CeFi、DeFi 和TradFi的機構提供服務，為用戶提供數字資產投資和對沖解決方案。（businesswire）[2022/8/1 2:50:55]

攻擊合約：0xeA0c959BBb7476DDD6cD4204bDee82b790AA1562

去中心化預言機網絡Empiric Network完成700萬美元融資，Variant領投:金色財經消息，基于StarkNet的去中心化區塊鏈預言機Empiric Network在由Variant領投的一輪融資中籌集了700萬美元，其他參投方包括數據合作伙伴Alameda、CMT、Flow Traders、Gemini和Jane Street以及生態系統合作伙伴StarkWare和Polygon聯合創始人Sandeep Nailwal等。

Empiric Network希望找到去中心化數據的底層來源，加密貨幣交易所和大型做市商，該公司已與業內一些知名公司（其中許多是當前融資輪的投資者）簽署了合作伙伴關系，以將他們的專有數據上鏈，StarkWare創建的StarkNet提供了更低的費用、更高的交易速度和執行鏈上計算的能力。Empiric聯合創始人Karl Oskar Schulz表示，新資金將主要用于招聘和擴大開發團隊。(CoinDesk)[2022/7/16 2:16:51]

Oracle：0xE8929AFd47064EfD36A7fB51dA3F8C5eb40c4cb4

Keep3rV2Oracle：0x39b1dF026010b5aEA781f90542EE19E900F2Db15

攻擊流程

tx1：

1、Sushiswap兌換，300WETH=>374.38INV

2、Sushiswap兌換，200WETH=>690307.06USDC

3、DOLA3POOL3CRV-f兌換，690307.06USDC=>690203.01DOLA

4、Sushiswap兌換，690203.01DOLA=>1372.05INV

tx2：

1、質押INV作為抵押物

2、借走1588ETH、94WBTC、4MDOLA、39.3YFI

漏洞原理及細節

在第一筆攻擊交易中，攻擊者通過巨額的WETH=>INV兌換，抬高Sushiswap中INV對WETH的價格。

緊接著在15秒后的下一個塊中實施了第二筆攻擊交易，質押INV作為抵押物，由于上一個塊的價格操縱導致預言機對INV的高估值，使得攻擊者得以借走大量ETH、WBTC、DOLA、YFI完成攻擊套利。

實際上該兩筆攻擊交易即是常見的閃電貸操控價格攻擊的拆分，由于預言機采用了TWAP類型，于是將攻擊拆分成兩段，首先通過巨額資金的兌換操縱交易對價格，然后搶先交易保證在下一個塊中第一時間完成套利離場。

總結

本次攻擊事件中雖然InverseFinance采用了相對安全的TWAP類預言機，但在巨額資金和現有的搶先交易技術的基礎上，依然存在攻擊的可能。因此，TWAP類預言機的窗口期時間也需要進行合理的設置。

近期，各類合約漏洞安全事件頻發，合約審計、風控措施、應急計劃等都有必要切實落實。

Tags：INVARKETHNETINVOX價格PARK3X Short Ethereum Classic TokenQuam Network

KuCoin