BEA:黑客攻擊事件 算法穩定幣項目Beanstalk Farms被盜損失達1.82億美元

2022年4月17日，算法穩定幣項目Beanstalk DAO遭受黑客攻擊，損失已達1.82億美元，包括7900多萬BEAN3CRV-f、163萬BEANLUSD-f、3600萬BEAN和0.54個UNI-V2_WETH_BEAN。啟動入侵的初始資金已被撤回至Synapse Protocol，且大部分收益都被存入Tornado.cash。目前，該項目穩定幣BEAN價格已經從約1美元跌至0.136美元，跌幅達86%。

BeanStalk是一個分散的基于信用的穩定幣協議。該協議由三個相互連接的組件組成：去中心化價格預言機、去中心化治理系統和去中心化信貸工具。根據該項目的白皮書介紹，BeanStalk使用動態掛鉤維護機制，定期將1Bean（Beanstalk ERC-20標準穩定幣）的價格超過其價值掛鉤，而無需集中化或抵押要求。

BaconProtocol遭受黑客攻擊損失100萬美元:3月5日消息，據區塊鏈安全機構PeckShield消息，BaconProtocol剛剛遭遇黑客攻擊，損失約100萬美元。[2022/3/6 13:40:05]

此次攻擊事件距離Axie Infinity 遭到黑客攻擊損失6.25億美元還不到一個月時間，Beanstalk受到了巨大的損失。這次的黑客攻擊或源于前一天通過的BIP18，BIP18導致使用治理特權來抽干資金池的精心設計的代碼來執行，黑客利用了Beanstalk的“投票合約中的票數是根據賬戶中的代幣持有量來得到的”這一閃電貸漏洞完成了這次的攻擊，并將獲利的部分USDC轉入了烏克蘭加密捐贈地址。

沙特阿美石油公司遭黑客攻擊，贖金要求5000萬美元并以加密貨幣支付:7月22日消息，沙特阿美石油公司是世界上最有價值的石油公司，在一次黑客襲擊后信息被泄露。據美聯社報道，有1TB的公司數據被非法訪問。公司聲明顯示：沙特阿美最近發現，第三方承包商間接泄露了公司的數據。我們確認，數據的泄露不是由于我們的系統被攻破，對我們的運營沒有影響，公司繼續保持著強大的網絡安全態勢。美聯社進一步報道稱，黑客索要5000萬美元作為刪除數據的報酬，并要求以加密貨幣支付。[2021/7/22 1:08:59]

下面Armors Company Limited來具體分析一下黑客的攻擊過程。

芬蘭心理治療患者就醫記錄遭黑客攻擊，黑客要求支付比特幣:10月28日消息，芬蘭數萬名接受心理治療的患者的機密就醫記錄遭到黑客攻擊，其中一些被泄露到網上，該國內政部長稱這是“令人震驚的行為”。芬蘭透露，有黑客侵入了私人公司Vastaamo的記錄，該公司在芬蘭各地運營著25家治療中心。據報道，已有數千人向投訴此事。許多患者報告說，他們收到了要求支付200歐元比特幣的電子郵件，以防止他們與治療師討論的內容被公之于眾。據報道，部分受害者是未成年人。（英國衛報）[2020/10/28]

黑客從攻擊的前一天發起了交易提案，提案通過以后將會從Beanstalk: Beanstalk Protocol合約中提取資金。首先黑客通過閃電貸換取了3.5億個DAI、5億個USDC、1.5億個USDT、3200萬個BEAN和1100萬個LUSD作為資金儲備。再將這些資金在Curve.fi 對應交易對的交易池中添加為3Crv流動性代幣，總量達到9.8億個。接著用1500萬個3Crv兌換成LUSD。又將3Crv代幣兌換為BEAN3CRV-f用于投票，把3200萬個BEAN和近2700萬個LUSD添加流動性，這樣就成功得到5900萬個BEANLUSD-f流動性代幣。

動態 | 基于Augur的DeFi應用Defisurance推出黑客攻擊保險:據Augur官方博客，基于Augur的DeFi應用Defisurance推出黑客攻擊保險。defisurance使得從以太坊、dYdX和Dharma等去中心化的金融協議中的黑客攻擊中獲得保險變得容易，使協議在檢測到黑客攻擊時自動支付給用戶。此外，Augur App現已發布 v1.13.0和v1.13.1，旨在為其V2版本的發布作出準備。[2019/5/23]

接著，黑客用BEAN3CRV-f和BEANLUSD-f來對提案發起投票，然后調用emergencyCommit進行緊急提交來執行提案，從而導致提案通過。經過以上一系列的操作，3600萬個BEAN、8.75億個BEAN3CRV-f、6000萬個BEANLUSD-f以及0.54個UNI-V2，通過Beanstalk: Beanstalk Protocol合約轉入了攻擊合約。最后黑客將流動性移除并歸還閃電貸，把多余的代幣兌換為近2.5萬個ETH持續轉移至Tornado.Cash。

交易詳細信息如圖所示：

ETH被分批發送到 Tornado.Cash ：

Armors安全在此提醒：

首先，還是要對項目代碼的安全審計提高重視，建議找行業內正規的安全公司進行全方位的代碼審計，并定期檢查更新，可使用實時的安全監測服務，避免出現安全風險。其次，項目方應避免使用賬戶的當前資金余額來統計投票數量，投票所用資金應在合約中設定鎖定時間，避免出現可能的反復投票或使用閃電貸進行投票。對于惡意提案，項目方和社區應提高關注度及警惕性，可考慮禁止合約地址參與投票，并設立預警機制，對于惡意提案，需及時作出預警和處理，禁止惡意提案的投票通過和執行。

Armors安全機構成立于2017年，是行業最早成立的專業區塊鏈安全機構之一。Armors是Polygon、BSC、Ethereum、Solana等公鏈審計合作伙伴，已為超過2000家區塊鏈平臺、交易所、錢包、DApp等機構和項目提供安全審計、滲透測試、跨鏈遷移、平臺安全等各方面保障及服務。成立以來，Armors已為客戶挽回超過32000個BTC的資產損失。

Tags：BEASTAALKNSTBEATLESstader幣價格ALK價格MONSTR幣

芝麻開門交易所下載