以太坊價格 以太坊價格
Ctrl+D 以太坊價格
ads

ETH:CertiK:Vyper 5200萬美元損失 事件詳解

Author:

Time:1900/1/1 0:00:00

有報告稱 Vyper 0.2.15、0.2.16 和 0.3.0 版本存在漏洞,導致 Curve 上的許多池有遭受重入攻擊的風險。該漏洞允許攻擊者在移除流動性過程中調用添加流動性函數。

目前,總共有6,930萬美元受到影響,其中1,670萬美元已被白帽黑客追回。這也意味著此次事件造成了5,200萬美元被盜,成為了2023年迄今為止金額最高的重入攻擊。

2023年7月30日,專為以太坊虛擬機(EVM)設計的面向合約的編程語言 Vyper 編譯器0.2.15、0.2.16 和 0.3.0 版本被宣布存在重入鎖失效漏洞。多個 DeFi 項目受到該漏洞的影響,損失總額達 5,200 萬美元。

CertiK 已確定有六個地址涉及此次事件。第一個(0x172)未能利用區塊 17806056 中的漏洞。最初的漏洞利用者從 Tornado Cash 提取了 0.1 ETH,并繼續創建攻擊合約。然而,一個跑在前面的錢包(0x6Ec21)支付了更多的gas費用,并率先執行了交易,獲得了大約 6,100枚WETH(1,140 萬美元)。

Certik:正在探討180萬美金社區補償計劃以彌補Merlin DEX事件損失:金色財經報道,據Certik發文表示,在Merlin DEX的惡意開發者實施了Rug Pull后,正與受影響的各方緊密合作,彌補Merlin DEX事件造成的180萬美元用戶資金損失。據悉,CertiK將在未來幾天內宣布一個180萬美金的社區補償計劃以彌補損失,更多的計劃細節將會于隨后發布。

CertiK在對Merlin DEX的審計過程中發現了中心化風險,并對授予“masterAddress”和“owner”地址的權限進行了詳細的可視化分解。該審計工作于4月23日完成,共有六項發現。Merlin團隊修復了其中兩個問題,并確認了其余四個問題。CertiK的審計報告全部公開透明,并免費提供給所有Web3社區成員查看。

初步調查表明,攻擊者很可能位于歐洲。目前,Certik正在與執法部門合作,追蹤他們的下落。CertiK也正在與Merlin團隊的其他成員緊密合作并努力解決問題。目前,CertiK已敦促該惡意開發者接受20%的白帽賞金。[2023/4/27 14:29:05]

由MEV機器人在前置交易失敗的漏洞 來源:Etherscan Etherscan 

該漏洞導致了進一步的損失:EOA 0xDCe5d 獲得了價值約 2,100 萬美元的資產。涉案錢包明細如下圖:

CertiK:警惕假冒Lido推特賬號和釣魚鏈接:1月7日消息,CertiK Alert提醒稱,警惕發布釣魚鏈接的假冒Lido推特賬號,請勿與lidofinance[.]world交互。[2023/1/7 11:00:02]

共有6個項目受到影響,約有6,930萬美元被盜走,其中1,670萬美元已被歸還,總計損失約為5,200萬美元。

Vyper 是以太坊虛擬機(EVM)的一種面向合約的 pythonic 編程語言。Vyper 的測試版從 2017 年就開始有了,但其首個非測試版本是于2020年7月發布的 0.2.1 版。

Solidity是以太坊生態系統中的主流語言,它比Vyper存在的時間要長得多,因此許多社區成員創建了專門使用 Solidity 運行的工具。根據 DeFiLlama 的數據顯示,在DeFi協議中價值約700 億美元的總鎖倉價值(TVL)中,Vyper 智能合約占 21.7 億美元,而 Solidity 則占絕大多數,高達 674.9 億美元。

Balancer 社區發起提案激活v2協議費用,目前獲98%支持率:12月10日消息,Balancer 社區現已在Snapshot發起提案激活v2協議費用,具體費用可以設置在礦池費用的 0-50% 之間。在初始階段,協議費用將累積在金庫中,此后可用于創建 DAO 金庫指數基金、回購 BAL 等用途。目前,該提案已經獲得98%的支持率,并將在UTC時間12月12日上午6時結束。[2021/12/10 7:30:32]

 根據語言劃分的總鎖倉價值 來源:DeFiLlama

截至2023年5月10日,Vyper的主導地位從 2020 年8月的30%高點降至 6.27%。盡管 Vyper的TVL 主導地位明顯低于Solidity,但這一事件仍導致6,200萬美元受到影響。

 不同編程語言在 TVL 中的主導地位 來源:DeFiLlama

編譯器版本

編譯器版本是指編程語言編譯器的特定版本,編譯器將人類可讀的源代碼轉換為機器可讀的代碼。

編譯器版本會定期更新,以引入功能、修復漏洞并增強安全性。Vyper 語言目前不提供白客漏洞懸賞計劃。

Balancer和Gnosis達成合作,將推出新DEX BGP:4月28日消息,Balancer和Gnosis達成合作,將推出新DEX Balancer-Gnosis Protocol(BGP)。[2021/4/28 21:08:41]

版本 0.2.15 - 0.3.0

上文提到的就是Vyper 的0.2.15、0.2.16 和 0.3.0版本中發現了漏洞,導致了多個DeFi項目遭到重入攻擊。

而最早的Vyper 漏洞版本 0.2.15 發布于2021年7 月23日。到同年12月發布 0.3.1 版時,之前的漏洞已不復存在。

時間線

事件最初開始于北京時間7月30日晚9點10分,攻擊者針對Curve 上 JPEG’d池的交易由于前置運行交易而失敗。

北京時間7月30日晚10點,JPEG‘d 確認 pETH-ETH Curve池已被惡意利用。

Vyper 隨后宣布,0.2.15、0.2.16 和 0.3.0 版本包括了一個失效的重入鎖。Vyper 發布推文后,Metronome 和 Alchemix 也受到了影響。

去中心化交易平臺Balancer資產管理規模超過1億美元:6月27日消息,去中心化交易平臺Balancer資產管理規模已超過1億美元。此前報道稱,Balancer治理代幣BAL于6月25日在加密交易所FTX上線。(The Block)[2020/6/27]

Metronome DAO 宣布消息:

北京時間第二天凌晨,Curve Finance在 Discord 上發布公告稱,剩余的資金池不受Vyper Bug的影響,是安全的。

Curve Finance 在 Twitter 上宣布,Arbitrum上的一個資金池有可能受到影響,但沒有可供惡意行為者執行的有利可圖的漏洞,這意味著資金池不太可能受到攻擊。CertiK也尚未檢測到任何其他利用Vyper漏洞的攻擊。

以下是以JPEG’d為目標的交易示例:

攻擊者: 0x6ec21d1868743a44318c3c259a6d4953f9978538

攻擊合約: 0x466b85b49ec0c5c1eb402d5ea3c4b88864ea0f04#code

1.    攻擊者首先從 Balancer:Vault中借入80,000 WETH (約合149,371,300美元)

2.    然后,攻擊者將WETH 換成 ETH,調用 pETH-ETH-f.add_liquidity(),將 40,000 ETH(約合74,685,650美元)添加到 pETH-ETH-f 池中。作為回報,攻擊者收到了32,431枚pETH(pETH-ETH-f)。

3.    攻擊者調用 remove_liquidity() 刪除了在步驟2中添加的流動性。3,740 pETH 和 34,316 ETH 被轉入攻擊合約,攻擊合約的 fallbak() 函數被觸發了,將控制權交給了攻擊者。在 fallback() 函數中,攻擊者又向 pETH-ETH-f 池中添加了40,000 ETH的流動性,并收到了 82,182 pETH。

4.    攻擊者再次調用remove_liquidity(),取出10,272pETH,收到47,506 ETH和1,184pETH。然后,攻擊者在pETH-ETH-f 池中用4,924枚 pETH交換了4,285枚ETH。

總的來說,攻擊者從第3步獲得了34,316枚ETH,從第4步獲得了47,506和 4,285枚ETH,共計 86,107枚ETH。在償還了 80,000 ETH閃電貸后,攻擊者還剩下6,107 ETH(約11,395,506美元)。 

該漏洞允許攻擊者在移除流動性過程中調用添加流動性函數。雖然這些函數本應受到 @nonreentrant('lock')的保護,但對 add_liquidty() 和 remove_liquidity() 函數的測試證明,它并不能防止重入攻擊。

 Vyper_contract for Curve.fi Factory Pool 數據源: Etherscan

繼利用 JPEG'd、Metronome 和 Alchemix 漏洞之后,Vyper 的 v0.2.15、v0.2.16 和 v0.3.0 版本確實存在重入保護失敗的漏洞。

使用易受攻擊的Vyper版本的項目應聯系 Vyper協助進行緩解。項目也應盡量升級到不含此漏洞的最新版Vyper。

Vyper被攻擊事件是CertiK2023 年檢測到的最大的重入漏洞。就資金損失而言,該攻擊損失金額占據了此類事件的78.6%。

今年兩起最大的重入漏洞,都是利用Vyper編寫的合約,盡管漏洞并不相同。

目前,2023 年所有鏈中因重入攻擊造成的損失已超過 6,600 萬美元。這比 2020年全年多出約400萬美元,僅比 2021年的損失額少100萬美元。值得注意的是,2023年的總額也比 2022 年因重新定位攻擊造成的損失增加了 259.45%。

CertiK中文社區

企業專欄

閱讀更多

Foresight News

金色財經 Jason.

白話區塊鏈

金色早8點

LD Capital

-R3PO

MarsBit

深潮TechFlow

Tags:ETHCERBSPNBSethereum怎么讀CERBERUSBSP幣nbs幣未來價格

比特幣價格實時行情
GAME:加密游戲公會完整指南

作者:Gamestarter;編譯:火火/白話區塊鏈隨著高質量區塊鏈游戲的不斷發布,提供游戲機制和財務結構的創新組合,GameFi 正在吸引玩家的興趣.

1900/1/1 0:00:00
區塊鏈:W Labs:以WEB3的名義到馬來和越南轉轉

這次在東南亞轉了十天,先馬來西亞再越南,說說感受吧。馬來的氣候不要太好,國內 40 度,檳城 26-30 度.

1900/1/1 0:00:00
BSP:各大VC清倉出局 Maker DAO未來如何?

作者:深潮 TechFlow 清潔工作為 DeFi OG,MakerDAO 今年借著 RWA 的敘事再次回到加密舞臺的中央.

1900/1/1 0:00:00
GLO:非營利組織Glo宣布推出受監管的穩定幣Glo Dollar

作者:Liam 'Akiba' Wright  ,CryptoSlate;編譯:松雪,金色財經非營利組織 Glo 宣布于 8 月 2 日推出 Glo Dollar.

1900/1/1 0:00:00
DEFI:DeFi 崛起、央行數字貨幣頻出 美元是否會失去全球儲備貨幣的地位?

作者:BEN LILLY;編譯:深潮 TechFlow之前,我的長期觀點一直很堅定:美元不會失去作為全球儲備貨幣的地位.

1900/1/1 0:00:00
PLA:「三無」項目 IEO OPNX 的 Launchpad 到底在愚弄誰?

作者:秦曉峰,星球日報 今天,由 Su Zhu 等創立的債權交易平臺 OPNX 宣布上線第二個 Launchpad 項目 Gameplan.

1900/1/1 0:00:00
ads