DAI:yearn finance被攻擊手法公布，通過9步完成千萬美元攻擊

2021年02月05日，據慢霧區情報，知名的鏈上機槍池yearnfinance的DAI策略池遭受攻擊，慢霧安全團隊跟進分析，并以簡訊的形式給大家分享細節，供大家參考：

1.攻擊者首先從dYdX和AAVE中使用閃電貸借出大量的ETH

2.攻擊者使用從第一步借出的ETH在Compound中借出DAI和USDC

數據：Yearn Q3營收1520萬美元，同比增長470%:10月16日消息，Variant Fund投資人、Our Network作者Spencer Noon發推稱，數據顯示，Yearn的TVL達到54億美元，創歷史新高。第三季度營收為1520萬美元，同比增長470%。目前，0x API已經在4個不同的區塊鏈上積累了160萬個交易者錢包。[2021/10/16 20:33:51]

3.攻擊者將第二部中的所有USDC和大部分的DAI存入到CurveDAI/USDC/USDT池中，這個時候由于攻擊者存入流動性巨大，其實已經控制CruveDAI/USDC/USDT的大部分流動性

yearn.finance鎖倉量已超30億美元:yearn.finance發推稱，其TVL（鎖倉量）已超30億美元。[2021/4/15 20:22:19]

4.攻擊者從Curve池中取出一定量的USDT，使DAI/USDT/USDC的比例失衡，及DAI/（USDT&USDC)貶值

yearn.finance：yDAO已經創建:8月9日消息，DeFi聚合收益協議yearn.finance發推稱，yDAO已經創建。根據DeFi Rate編輯Cooper Turley的描述，本著可持續發展的精神，yDAO社區資助被用于資助對yEarn生態系統的增值貢獻。任何人都可以申請與yEarn相關任務的資金。以1份= 0.1 YFI的基本利率向任何人開放。yDAO使用DAOhaus和MolochV2標準構建；專注于資助項目，而不是協議級治理。

yDAO被用來匯集DAI和YFI，作為已知社區成員根據情緒和影響投票決定資金分配的可信儲備。DAO可能資助的工作類型包括智能合約審核、UI升級、基于yToken的產品、內容創建、YIP獎金等。DAO不會資助的類型包括過于雄心勃勃的想法，幾乎沒有經過深思熟慮的行動計劃；YFI分叉；交易所上線以及場外交易。[2020/8/9]

5.攻擊者第三步將剩余的DAI充值進yearnDAI策略池中，接著調用yearnDAI策略池的earn函數，將充值的DAI以失衡的比例轉入CurveDAI/USDT/USDC池中，同時yearnDAI策略池將獲得一定量的3CRV代幣

6.攻擊者將第4步取走的USDT重新存入CurveDAI/USDT/USDC池中，使DAI/USDT/USDC的比例恢復

7.攻擊者觸發yearnDAI策略池的withdraw函數，由于yearnDAI策略池存入時用的是失衡的比例，現在使用正常的比例體現，DAI在池中的占比提升，導致同等數量的3CRV代幣能取回的DAI的數量會變少。這部分少取回的代幣留在了CurveDAI/USDC/USDT池中

8.由于第三步中攻擊者已經持有了CurveDAI/USDC/USDT池中大部分的流動性，導致yearnDAI策略池未能取回的DAI將大部分分給了攻擊者

9.重復上述3-8步驟5次，并歸還閃電貸，完成獲利。

參考攻擊交易：https://etherscan.io/tx/0xb094d168dd90fcd0946016b19494a966d3d2c348f57b890410c51425d89166e8

Tags：DAIUSDEARNYEADAIQ幣usdc幣最新消息EARN$價格Yearn.concubine

中幣