先发 | 损害2500万美金 xToken攻击事情浅析_钱包

先发 | 损害2500万美金 xToken攻击事情浅析

中国北京时间5月13日，CertiK安全生产技术精英团队发觉DeFi质押贷款和流通性对策服务平台xToken遭受攻击，xBNTaBancor池及其xSNXaBalancer池马上被耗光，导致近2500万美金损害。

5月还未以往一半的時间，此次的攻击事情再加上5月已产生的别的攻击事情，竟现有大概8500万美金失窃了。

CertiK安全性精英团队在2020年发觉的重要bug分成三类：逻辑错误，闪电贷和新项目方。

此次事情一部分能够 算的上是一次并不是“典型性”的闪电贷攻击。

闪电贷能够 在不用出示一切质押的状况下开展借款，自然全部实际操作务必在一个交易区块链内进行。

开发者能够 从Aave或dYdX等协议书中借款，标准是在交易完毕以前将周转资金退还到资金池中。

假如资产无法立即回到，则交易将被撤销，进而保证 贮备池的安全性。

闪电贷具有多种多样作用和测试用例，但大家现阶段见到的大部分闪电贷都被用以对冲套利交易。

而故意应用方法则是攻击别的一些DeFi协议书或控制价格推测机的价格——这也恰好是本次xToken产生的状况。

唐纳德研究者在twiter上表述攻击是怎样产生的

1. 网络黑客在dYdX上运用闪电贷借出去大概61800个ETH。

2. 在Aave上存进10000个ETH借出去56.4万个SNX，随后根据SushiSwap将5500个ETH换为约七十万个SNX。

以后在Uniswap v2上售出120万SNX，得到818ETH，借此机会大幅度降低了SNX的价格。

3. 在价格减少后， 攻击者仅用了0.12个ETH就锻造了12亿xSNXa。

这是由于该协议书根据Kyber价格推测机选购SNX并锻造xSNXa，而Kyber价格推测机参考了Uniswap v2的价格。

4. 殊不知在Balancer协议书中，xSNXa的价格或是原先的价格，这促使攻击者能够 将1.05亿 xSNX换为414个 ETH。

5. 以后，攻击者在Uniswap和Sushiswap上放ETH选购SNX来还款Aave上的借款, 将目前的xSNXa卖给Balancer的SNX/ETH/xSNXa（25/25/50）养金鱼的鱼缸, 盈利的另外还款了dYdX的闪电贷。

xBNTa的合同根据ETH来锻造xBNTa。

其基本原理是在智能合约中在Bancor协议书里将ETH换为BNT，并运用换得的BNT总数来测算锻造的xBNTa总数。

殊不知合同中的"mint"方式仍未认证用ETH换得的币是不是为BNT，攻击者应用了一个总产量巨大的代币总SPD更换了BNT，仿冒了BNT的总数，使其能够 无尽公开增发xBNTa。

攻击者启用了“mint”方式四次，每一次应用0.03ETH锻造很多的xBNTa，最后得到了39亿xBNTa，并将得到的一半的xBNTa换为了大概78万BNT。

但为什么说此次网络黑客攻击和过去的闪电贷攻击不一样呢？

由于攻击者的该笔交易应用了Flashbots MEV来执行，确保了交易的私密, 避免该笔交易在和AMM互动时被其他客户开展了“三明治攻击”。

专业术语详细说明

Flashbots是一个科学研究和开发设计机构，创立的初心是减轻由 "挖矿可提取使用价值(miner-extractable value, MEV)" 给智能合约服务平台型区块链产生的不良影响和存活风险性。

她们建议为 MEV设计方案一种不用批准、全透明且公平公正的生态体系，来护卫以太币的核心理念。

挖矿可提取使用价值（MEV）是一种设计方案用于科学研究的共识安全性的规范，它仿真模拟了挖矿（或连接点认证者）根据随意包括、除去或再次排列她们造成的区块链中的交易的工作能力而得到的盈利。

比如，攻击者能够 见到一个能够赚钱的交易，并尝试根据付款高些的交易花费来提早开展交易，进而得到盈利。或是根据对AMM交易开展三明治攻击。

三明治攻击：当攻击者在交易池里观查到一笔财产X获得财产Y的交易后，攻击者能够 提早买进财产Y，接着让受害人实行交易来提高Y财产的价格，随后在Y财产价格升高后售卖此前购买的财产Y来获得盈利。

因而，即便 是攻击者也必须当心黑暗世界中全部埋伏的掠夺者。

Flashbots必须客户应用本人的API密匙，攻击者极有可能在应用Flashbots的情况下留有自身的足迹。

因而搜索该API密匙的应用历史时间也可做为讨回损害的方式之一。

xToken做为一个早已过大中型安全性公司审计的出色DeFi新项目遭到那样的攻击实际上是并不普遍的。

这也再度向大家揭秘了一个客观事实：静态数据网络安全审计并没法确保100%的安全性。

安全性并不是是一次性的，它是一个不断的全过程。

区块链技术性飞速发展，新的攻击方法一样五花八门。

我们无法了解和预测即将遭遇的下一次攻击，做为业界领跑的区块链安全性企业，CertiK开发设计的一系列安全工器具及完善的安全保障将为新项目方和投资人出示安全防范措施，一旦数据加密财产发生意外遭窃状况，损害将因而降至最少。

先发 | 欧科云链发布“超级天眼计划方案”促进链上防护系统再升級:8月28日，区块链产业链集团公司欧科云链公布发布区块链“超级天眼计划方案”，关键根据链上数据信息跟踪系统研发、对外开放服务支持、凝聚力公司众力等方式，全方位助推区块链安全性提高和产业链稳定身心健康发展趋势。

据统计，在“超级天眼计划方案”下，欧科云链集团公司将打造出链上数据信息跟踪系统软件，根据追溯数字货币、监管不法交易等方式，全力以赴抵制洗黑钱等违法活动；帮助行政机关审理案件，并为打造出法律事务部等区块链系统软件出示服务支持；为联盟链和根据各种业务流程的链上数据信息出示区块链 互联网大数据的解决方法。[2020/8/28]

先发 | 嘉楠耘智公布与Northern Data在AI、区块链等大数据处理行业达到战略合作:据官方公告，2020年2月17日，嘉楠耘智公布与区块链解决方法及大数据中心服务供应商Northern Data AG达到战略合作。此次协作的內容包含AI、区块链及大数据中心运维管理等大数据处理行业。

嘉楠耘智有着丰富多彩的大数据处理专用型ASIC集成ic产品研发工作经验。Northern Data AG则致力于区块链和大数据中心等大数据处理基础设施建设的基本建设。根据此次战略合作，彼此将在AI、区块链等新起行业进一步释放出来提高潜力。[2020/2/19]

先发 | 《一起来捉妖》中游戏玩家做到22级可能触碰到专享猫的游戏玩法  :今天腾讯官方发布第一款区块链手机游戏《一起来捉妖》，经金色财经核实，游戏里面游戏玩家做到22级可能触碰到专享猫的游戏玩法，并非先前官方网对外开放声称的15级。除开诱猫铃铛招唤出的0代猫及其一部分根据经营主题活动奖赏的专享猫之外，游戏里面全部的猫默认设置全是没上链情况。没上链的猫不可以售卖，也没法进到销售市场与别的游戏玩家匹配；可是你能应用这种猫与你的QQ/微信朋友开展匹配，产出率新的小猫咪。应用游戏道具““天书”笔”能够 将你的猫纪录到区块链。当猫被纪录到区块链之后，这种猫就可以进到销售市场，根据匹配获得点卷，或是售卖获得点卷。专享猫是不是上链，并不危害它的增益值实际效果。但仅有上弦后，它才可以应对全网络服务器全部的游戏玩家开展繁育、交易。

《一起来捉妖》中的专享猫游戏玩法，根据腾讯官方区块链技术性，游戏里面的虚似数字货币获得合理维护。除此之外，根据腾讯官方区块链技术性，猫还可以随意繁育，而且应用区块链技术性储存、绝不消退。[2019/4/1

标签：

区块链热门资讯