当前位置:首页DEFIdefi协议warp-finance“oracle”攻击事件分析

defi协议warp-finance“oracle”攻击事件分析

北京时间12月18日6时许,DeFi贷款协议warp finance遭到黑客攻击,导致资产损失近800万美元。

同时,官方的warp finance在推特上表示,正在调查非法贷款,并建议用户在事件真相明朗之前暂停稳定币的存款。接到区块链安全态势感知平台(beosin鹰眼)的报警后,成都连锁安全团队立即对攻击进行调查,发现:1。Warp finance使用Uniswap事务对的相对价格作为其预言机的价格来源。2在从Uniswap交易中获得巨额资金后,攻击者得知了这笔钱的用途。3攻击者通过控制预言机供给价格源的信息,破坏了warp金融贷款价值的判断标准。4在warp finance错误的数据环境中,攻击者窃取的资产远远超过抵押品的价值。5袭击者归还了从快速贷款中借来的钱。攻击交易地址0x8bb8dc5c7c830bac85fa48acad2505e9300a91c3ff239c9517d0cae33b595090攻击过程分析攻击者首先使用Uniswap进行闪电贷款,然后使用mosaic(还款前连续操作)方法分别在wbtc2、USDC3和USDT2池中进行湿贷款,如下图所示:

defi协议warp-finance“oracle”攻击事件分析

后来,为了扩大用于攻击的资金量,攻击者在dydx中借款。如下图所示:

defi协议warp-finance“oracle”攻击事件分析1

然后,攻击者向Uniswap的Dai2交易池注入流动性,获得流动性代币LP,如下图所示:

defi协议warp-finance“oracle”攻击事件分析2

然后,将获得的LP代币抵押在warp金融合同中,交易及代码如下:

defi协议warp-finance“oracle”攻击事件分析3

defi协议warp-finance“oracle”攻击事件分析4

完成抵押后,攻击者使用借入资金在Uniswap Dai 2池中交换Dai,如下图所示:

defi协议warp-finance“oracle”攻击事件分析5

上述“准备工作”完成后,价格就**纵了。另一方面,warp finance的预言机价格来源是来自Uniswap LP token的价格数据,代码如下:

defi协议warp-finance“oracle”攻击事件分析6

LP代币价格算法;(代币a的价格×代币池中持有的金额+代币B的价格×代币B池中的持有金额)/LP代币的总金额,其中代币a和代币B的价格根据Uniswap的“对应代币和稳定币”交易对计算。因此,在上述情况下,a、B代币价格处于正常水平,而a、B代币在交易对中的相对价格已经出现异常。这是因为Uniswap采用固定的产品做市商机制,即a×B=K,当某一代币出现大量换手时,会出现巨大的滑动点,造成价差。假设:a=a代币数量;b=b代币数量;AP=a代币价格;BP=b代币价格:a×b=K(不加流动性时K为常数);翘曲价格=(AP×a+BP×b)/totallp,由于在这种情况下AP和BP都是常数,我们可以设置AP=x1×BP,并简化为warp价格=((x1×K)/b+b)×BP/totallp结论是可以得到x1×K,BP和totalp是攻击过程中的常数。随着B数的增加,LP的价格也会随之增加。攻击者利用闪贷获得的巨额资金,将一个代币的流动性加入交易池,迫使另一个代币大幅增加,从而造成LP的价格失衡。由于LP价格**纵到一个很高的水平,攻击者可以借出比正常情况更多的资产。之后,攻击者通过调用以下函数进行贷款。

defi协议warp-finance“oracle”攻击事件分析7

defi协议warp-finance“oracle”攻击事件分析8

在成功控制抵押贷款价格后,攻击者可以利用错误的价格数据借出远远超过抵押物价值的资产,获取巨额利润。**,攻击者归还了闪贷资金,如下图所示:

defi协议warp-finance“oracle”攻击事件分析9

事件摘要很明显,这是另一个典的预言攻击,由闪电贷款的巨额资金发起。成都联安曾撰文指出,在目前黑客众多的攻击手段中,“预言机”价格控制是无形的“罪魁祸首”。同时,成都联安也郑重提醒DIF开发者,要加强对预言机的针对性测试,特别是在项目上线前,尽可能模拟价格操纵攻击的各种场景,及时发现问题,找到解决方案,有效提高了项目抵御预言机攻击的能力。仅仅一个月后,巨额财产损失再次警示我们,在区块链领域,安全防护尤为重要,许多系统安全漏洞是防不胜防的。因此,我们必须采取积极措施,形成一个持续有效的保护方案,才能**限度地避免提前出现问题。另外,如果在DeFi项目运行过程中出现安全技术问题,采用第三方安全技术解决方案是一种有效的方法。**,成都联安再次要求加强对项目预测机等方面的定期安全检查,防止此类事件再次发生。

温馨提示:

文章标题:defi协议warp-finance“oracle”攻击事件分析

文章链接:https://www.btchangqing.cn/165846.html

更新时间:2021年06月12日

本站大部分内容均收集于网络,若内容若侵犯到您的权益,请联系我们,我们将第一时间处理。

区块链

2020年比特币动荡不安 挖矿好还是炒币好?

2020-12-19 14:27:30

区块链

比特币大涨背后的可能性分析

2020-12-19 14:29:00

8 条回复 A文章作者 M管理员
  1. 圈圈力

    中长期也得踩好点才能赚!买在山顶也是长期套。

  2. 泪亚公子

    关下面的鸟事、六个钱袋买不起一枚。

  3. blockbeats

    永远支持okex,

  4. 链度

    #无语区块链

  5. 币异客

    目前持仓10多万 没事扔着吧 等风来

  6. L661

    #我想对okex说# 相信相信的力量

  7. 农场人

    我很喜欢,太精彩了区块链

个人中心
购物车
优惠劵
今日签到
有新私信 私信列表
搜索