AD
区块链周报 | OKEX即将开放提币；多个DeFi项目遭黑客闪电贷攻击
本周公布的区块链领域项目融资收购案共14起，涉及金额约2.13亿美元
注：本周六，DeFi协议Pickle Finance因其Jar计谋中存在的破绽，而被黑客盗走了2000万美元，今后，由Rekt、Stake Capital 团队成员、samczsun等白帽黑客组成的暂且小队对Pickle协议内剩余易受攻击的5000万美元用户资金举行了抢救，作者Rekt对这次事宜举行了总结。
金融的发酵还在继续，即使是酸黄瓜也有保质期。
Pickle Finance由于一个假“Pickle jar”破绽而被黑客盗走了1970万DAI。
Pickle Finance已成为了这次黑客大流行病的最新受害者。
然而，这一次，有一些差别...
当Twitter上的人们试图接受另一次金融灾难时，Rekt 最先了观察。
我们联系了Stake Capital 团队，他们查看了代码并忠告我们其他Pickle jar可能面临风险。
随后，我们迅速联系了Pickle Finance团队，并在Sketch Capital（@bneiluj，@vasa_developer）成员以及有履历的开发者@samczsun，@emilianobonassi之间建立了一个作战室。
在我们举行观察后，很明显，我们看到的是与最近几周的DeFi乐高气概黑客事宜异常差别的器械。
这不是一次套利。
攻击者对Solidity和EVM有着很好的领会，而且可能已经亲切关注了一段时间的Yearn代码，由于这个破绽与一个月前在Yearn中发现的破绽类似。
从本质上说，Pickle Jar就是Yearn yVaults的分叉，这些Jar是由一个名为the Controller的合约控制的，该合约具有允许用户在Jar之间交流资产的功效。
不幸的是，Pickle并没有设置白名单允许哪个Jar使用这个交流功效。
黑客制造了一个假的Pickle Jar，并交流了原Jar中的资金。这是有可能的，由于swapExactJarForJar没有检查“白名单”jar。
Pickle Finance团队知道他们需要辅助，并异常愿意与其他人互助，以防任何进一步的损害。
Pickle曾试图挪用“withdrawAll”函数，但这笔买卖失败了。
这个取款请求需要通过治理DAO，而这存在12个小时的时间锁（timelock）。
只有一个Pickle多重署名组的成员有能力绕过这个时间锁，而那时他们正在睡觉。
这意味着管理者无法清空Pickle Jar，但这并不能珍爱他们免受另一次黑客攻击。
随后，Pickle Finance和Curve发出忠告，要求用户立即从Pickle中提取资金，然而，潜在易受攻击的Pickle jar中另有5000万美元，而白帽团队观察了这一破绽，并检查了剩余资金的平安性。
救援小队要么叫醒睡着的管理员，要么自己抽干这些jar内的资金。
这个小队必须战胜5大挑战：
让Pickle Finance团队跨多个时区群集在一起，通过将买卖推到12小时时间锁（通过6个多重署名中的3个）提取资金，以拯救这些资金； 让成千上万的投资者提出他们的资金（并阻止他们在资金池TVL下降和APY膨胀到1000%以上时再举行再投资）； 对其他jar举行平安检查，看看是否有可能发生更多攻击； 在任何人再次攻击这些jar之前，复制这种攻击，将资金转移出来； 在试图拯救剩余的5000万美元资金时，制止被争先买卖； 我们还能继续依赖伪匿名白帽黑客的辅助多久？显然，与珍爱者相比，攻击者的念头更为一致，那白帽黑客为什么要协调这样一次艰辛的还击？
声誉归白帽，资金却归黑客，这是不能连续的。
要让这些白帽变黑，还需要多久时间？
剖析
通过公布这些技术信息，我们意识到我们可能会引发新的黑客攻击。我们与Pickle Finance及其他开发人员讨论了潜在的结果，并确认我们不知道Pickle的任何运营分叉可能会受到模拟攻击的影响。
选择性披露会带来责任的一个方面，以是我们决议自由公布这些信息。如果有任何协议在运行Pickle的代码分叉，他们应该要意识到正在发生的事宜，并接纳预防措施来防止黑客模拟者。
下面的图表是由@vasa_develop建立的。
原始文件可以在这里找到。
关于更多详情，请参阅此处官方的观察报告。
看看相对较新的保险协议Cover Protocol若何处置这一事宜是有趣的，这对他们的第一笔索赔来说是一笔伟大的金额。你可以在这里找到保险索赔的快照投票。
腌渍酸黄瓜是一个缓慢的历程。
几十年来，“迅速开发”的倡导者一直在告诉开发人员，要快速行动，迅速失败，并公布最小的可行产物。
这些想法不适合在敌对环境中建设。
在DeFi中迅速失败是要支出伟大价值的。
我们不需要另一种方法，我们需要一个范式转换，允许快速迭代，同时减少被攻击的可能性。
我们不要再以为“拥有审计就拥有了平安的保证”，在大多数情况下，它是应用于移动目的的检查表式平安措施的快照，这些目的通常在项目进入主网后不久就演变成了其他器械。
MixBytes（10月3日）和Haechi（10月20日）的审计是在添加ControllerV4（10月23日）之前完成的，而ControllerV4是这次攻击的要害向量之一。
未来金融界最伟大的团队，将是那些能够在快速迭代和平安迭代之间举行权衡的团队，其能够定期对其可组合的钱币机器人举行连续审计和严酷测试。
审计应该是一个定期的、连续的历程，而不是在启动前打勾。新的DeFi协议会不停转变和顺应，而平安审计应反映这一点。
究竟，腌黄瓜只有在罐子里才气保持新鲜...
加入新手交流群：每天早盘分析、币种行情分析
添加助理微信，一对一专业指导：chengqing930520
上一篇：巴比特DeFi猎手丨流动性挖矿热潮开创者红薯（Yam）出新品；Synthetix推出新杀器
加入新手交流群：每天早盘分析、币种行情分析，添加助理微信
一对一专业指导：chengqing930520
最新资讯
