每週都會受到攻擊——去中心化金融(DeFi) 生態系統的價值超過2000 億美元，分佈在不同的區塊鏈上。在實踐中，這個生態系統大多是開源的。因此，許多協議混合在一起，從其他協議分叉代碼。不幸的是，一些倉促的更改會導致出現嚴重缺陷。 Agave 和Hundred Finance 協議剛剛以犧牲用戶為代價了解到這一點。
1170 萬美元被盜
Agave Finance 和Hundred Finance 是Gnosis 鏈（前身為xDai）上出現的兩個協議，兩個協議是Aave 和Compound 的分叉。
3 月15 日星期二，兩種協議都通知其用戶正在進行攻擊。在此公告之後，協議都暫停了他們的合約以限制損失。
百家財經發布的攻擊公告– 來源：推特
不幸的是，這些措施無法阻止攻擊者。因此，2,116 ETH（或550 萬美元）從Agave 被盜，2,363 ETH（或620 萬美元）從Hundred Finance 協議中被盜。
不出所料，攻擊者通過Tornado Cash 協議直接轉發了他的戰利品以掩蓋他的踪跡。
閃貸、重入：眾所周知的秘訣
為了進行攻擊，黑客使用了DeFi 生態系統眾所周知的方法。對於被攻擊的2 個協議中的每一個，此方法都是相同的。
因此，他在xDAI 中取出了一筆閃電貸，並將資金存入每個協議以獲得貸款。不幸的是，xDAI 代幣中的callAfterTransfer() 函數設計不佳，導致了重入缺陷。
在實踐中，該漏洞允許攻擊者多次調用貸款函數，而無需更新其債務餘額。因此，通過減少基礎質押品，攻擊者能夠通過增加貸款來吸走幾個礦池。
一旦礦池子被抽走，攻擊者只需償還他的閃電貸款並將被盜的數百萬美元收入囊中。
“這名前鋒提供了大約200 萬美元作為質押品，並通過利用重新進入從所有其他資產中藉了高達150 萬美元。 他從第一個資產中藉了150 萬美元，在系統登記他的債務之前，他重新登記，並且還從第二個資產中藉了150 萬美元。 因此，他們的債務達到了300萬美元，而他們的擔保只有200萬美元。 他（……）重複了這個操作以藉入所有可用資產。 »
來自區塊鏈開發者Mudit Gupta 的推文
分叉≠安全
正如我們所見，Agave 和Hundred 都是Aave 和Compound 的分支。但是，使用相同的代碼並不一定可以繼承後者的安全性。
事實上，對代碼進行最輕微的修改以適應它可能會導致出現缺陷。在這2 次攻擊的情況下，是Gnosis 鏈上的部署導致了漏洞。
如果開發人員仔細檢查添加到他們協議中的每個令牌，以確保它不會引入重入漏洞，這些攻擊是可以避免的。
“Agave 和Hundred 協議團隊在上架可以重入的代幣時弄錯了。 Aave 和Compound 的治理在將代幣上架到主網上之前會主動檢查重入性，以防止類似的攻擊。 »
穆迪·古普塔
從現在開始，這些協議將與執法部門聯手，希望有朝一日能夠拿到這筆資金。最近，發現了TheDAO 的黑客，這是發生在以太坊上的第一個也是最重要的黑客攻擊。不幸的是，大多數黑客並非如此。
當船長留在岸上時，船應該停止航行嗎？使用Kucoin Earn 的質押解決方案將你的投資置於自動駕駛儀上。立即註冊以享受被動收入（附屬鏈接）。
文章在Agave 和Hundred Finance 的崩盤：黑客竊取了1170 萬美元首先出現在Journal du Coin 上。
資訊來源：由0x資訊編譯自JOURNALDUCOIN。版權歸作者Renaud H.所有，未經許可，不得轉載