链资讯 链资讯
Ctrl+D收藏链资讯
首页 > 比特币 > 正文

ICK:Pickle Finance被盗2000万美元的启示_PIC

作者:

时间:

编者按:本文来自巴比特资讯,作者:rekt,编译:洒脱喜,星球日报经授权发布。注:本周六,DeFi协议PickleFinance因其Jar策略中存在的漏洞,而被黑客盗走了2000万美元,此后,由Rekt、StakeCapital团队成员、samczsun等白帽黑客组成的临时小队对Pickle协议内剩余易受攻击的5000万美元用户资金进行了抢救,作者Rekt对这次事件进行了总结。

金融的发酵还在继续,即使是酸黄瓜也有保质期。PickleFinance因为一个假“Picklejar”漏洞而被黑客盗走了1970万DAI。PickleFinance已成为了这次黑客大流行病的最新受害者。然而,这一次,有一些不同...当Twitter上的人们试图接受另一次金融灾难时,Rekt开始了调查。我们联系了StakeCapital团队,他们查看了代码并警告我们其他Picklejar可能面临风险。随后,我们迅速联系了PickleFinance团队,并在SketchCapital成员以及有经验的开发者@samczsun,@emilianobonassi之间建立了一个作战室。在我们进行调查后,很明显,我们看到的是与最近几周的DeFi乐高风格黑客事件非常不同的东西。这不是一次套利。攻击者对Solidity和EVM有着很好的了解,并且可能已经密切关注了一段时间的Yearn代码,因为这个漏洞与一个月前在Yearn中发现的漏洞类似。从本质上说,PickleJar就是YearnyVaults的分叉,这些Jar是由一个名为theController的合约控制的,该合约具有允许用户在Jar之间交换资产的功能。不幸的是,Pickle并没有设置白名单允许哪个Jar使用这个交换功能。黑客制造了一个假的PickleJar,并交换了原Jar中的资金。这是有可能的,因为swapExactJarForJar没有检查“白名单”jar。PickleFinance团队知道他们需要帮助,并非常愿意与其他人合作,以防任何进一步的损害。Pickle曾试图调用“withdrawAll”函数,但这笔交易失败了。这个取款请求需要通过治理DAO,而这存在12个小时的时间锁。只有一个Pickle多重签名组的成员有能力绕过这个时间锁,而当时他们正在睡觉。这意味着管理者无法清空PickleJar,但这并不能保护他们免受另一次黑客攻击。随后,PickleFinance和Curve发出警告,要求用户立即从Pickle中提取资金,然而,潜在易受攻击的Picklejar中还有5000万美元,而白帽团队调查了这一漏洞,并检查了剩余资金的安全性。救援小队要么叫醒睡着的管理员,要么自己抽干这些jar内的资金。

这个小队必须克服5大挑战:让PickleFinance团队跨多个时区聚集在一起,通过将交易推到12小时时间锁提取资金,以拯救这些资金;让成千上万的投资者提出他们的资金;对其他jar进行安全检查,看看是否有可能发生更多攻击;在任何人再次攻击这些jar之前,复制这种攻击,将资金转移出来;在试图挽救剩余的5000万美元资金时,避免被抢先交易;我们还能继续依赖伪匿名白帽黑客的帮助多久?显然,与保护者相比,攻击者的动机更为一致,那白帽黑客为什么要协调这样一次艰苦的反击?荣誉归白帽,资金却归黑客,这是不可持续的。要让这些白帽变黑,还需要多久时间?分析

通过发布这些技术信息,我们意识到我们可能会引发新的黑客攻击。我们与PickleFinance及其他开发人员讨论了潜在的后果,并确认我们不知道Pickle的任何运营分叉可能会受到模仿攻击的影响。选择性披露会带来责任的一个方面,所以我们决定自由发布这些信息。如果有任何协议在运行Pickle的代码分叉,他们应该要意识到正在发生的事件,并采取预防措施来防止黑客模仿者。下面的图表是由@vasa_develop创建的。

原始文件可以在这里找到。关于更多详情,请参阅此处官方的调查报告。看看相对较新的保险协议CoverProtocol如何处理这一事件是有趣的,这对他们的第一笔索赔来说是一笔巨大的金额。你可以在这里找到保险索赔的快照投票。

腌渍酸黄瓜是一个缓慢的过程。几十年来,“敏捷开发”的倡导者一直在告诉开发人员,要快速行动,迅速失败,并发布最小的可行产品。这些想法不适合在敌对环境中建设。在DeFi中迅速失败是要付出巨大代价的。我们不需要另一种方法,我们需要一个范式转换,允许快速迭代,同时减少被攻击的可能性。我们不要再认为“拥有审计就拥有了安全的保证”,在大多数情况下,它是应用于移动目标的检查表式安全措施的快照,这些目标通常在项目进入主网后不久就演变成了其他东西。MixBytes和Haechi的审计是在添加ControllerV4之前完成的,而ControllerV4是这次攻击的关键向量之一。未来金融界最伟大的团队,将是那些能够在快速迭代和安全迭代之间进行权衡的团队,其能够定期对其可组合的货币机器人进行持续审计和严格测试。审计应该是一个定期的、持续的过程,而不是在启动前打勾。新的DeFi协议会不断变化和适应,而安全审计应反映这一点。毕竟,腌黄瓜只有在罐子里才能保持新鲜...

标签:ICKPICKLEPIC以太坊kick币价格pickle币最新消息pickle币未来价格预测以太坊官网下载

比特币热门资讯
ITA:Pantera Capital联合创始人:未来20年区块链比其他任何投资都更加有趣_加密货币行情追踪工具

编者按:本文来自碳链价值,Odaily星球日报经授权转载。作为美国有史以来第一支比特币基金,PanteraCapital从2018年至2020年一共募集到1.64亿美元,其中大部分资金流入比特币.

比特币:数据显示:PayPal成比特币价格上涨的主动力_raca币是元宇宙龙头币

编者按:本文来自链内参,作者:内参君,Odaily星球日报经授权转载。到目前为止,我们大多数人都听说PayPal最近几周已开始在美国开始加密货币的买卖,并将在2021年上半年将其推广到特定的国际.

以太坊:ETH达30个月价格高位,8个迹象表明以太坊已进入新的牛市_DEFI

11月26日,以太坊目前正在从之前和30个月的峰值620美元大幅回落。但即便今天下跌了100美元左右跌到520美元附近,ETH自年初以来仍然上涨了300%以上.

BTC:揭秘灰度一直买买买的真相_比特币

Grayscale,币圈人口中的“灰度”,一直没有停止购买比特币,即便是超过17000美元1枚的高价比特币。11月17日,灰度旗下的BTC信托持仓量新增1773枚BTC.

BTC:DeFi热潮逐渐散去,如何抓住下一轮Polkadot的红利?_比特币

编者按:本文来自Polkadot生态研究院,Odaily星球日报经授权转载。DeFi点燃了以太坊众所周知,当我们在以太坊进行转账时都需要支付一定的矿工费奖励给打包我们交易的矿工,也就是俗称的Ga.

瑞波币:Ripple社区更新:对XRP持有人激励和支持_PLE

编者按:本文来自金色财经,Odaily星球日报经授权转载。 瑞波币及其经济生态系统的可持续性与比特币或以太坊不同,瑞波币不是依靠挖矿获得的数字资产,现在市场上已经出现的瑞波币都是被创建出的.