2020년 3월 컴파운드는 오랫동안 잠잠했던 통화권을 되살린 '대출 마이닝' 모델을 출시했다. DeFi 마이닝에 참여한 한 '채굴자'는 최상위 광산을 차지하기 위해 "안전 여부와 관계없이 최상위 광산을 먼저 확보하십시오"라고 테스트되지 않은 코드에 베팅했다고 말했습니다.

개발자들은 더욱 불안해하며 메인넷을 빠르게 런칭하고 새로 공개된 코드의 혜택을 최대한 누리기 위해 보안 감사 단계를 바로 건너뛴다.

Mount Tai만큼 안정적인 해커들도 자신의 기술력에 의존하여 기회를 포착하고 보안 예방 조치를 취하지 않은 DeFi를 공격할 기회를 기다리기 시작했습니다.

보조 제목

짜릿한 시간: 24시간 동안 두 번의 공격에 거의 800만 달러의 비용이 듭니다.

11월 17일 PeckShield는 DeFi 프로토콜 오리진 프로토콜 스테이블 코인 OUSD가 공격당하는 것을 모니터링했으며 공격자는 파생 상품 플랫폼 dYdX에서 플래시 론을 사용하여 재진입 공격(Re-entrancy attack)을 수행하여 미화 770만 달러의 손실을 입혔습니다. 불화.

그 후 11월 18일 PeckShield는 DeFi 고정 금리 대출 프로토콜 88mph의 코드 허점을 모니터링했으며 공격자는 허점을 악용하여 $100,000 상당의 MPH 토큰을 발행했습니다.

보조 제목

생방송 48시간 만에 매복

PeckShield는 추적 및 분석을 통해 먼저 공격자가 안정적인 통화를 자금 풀에 저장하기 위해 DInterest::deposit() 함수를 호출하며, 이때 예금자는 새로운 depositID를 받게 되며 이는 동종 토큰(NFT) 및 MPHMinter 계약이 MPH 토큰 발행을 시작합니다.

그런 다음 fundAll() 함수를 호출하여 변동 금리 채권을 구매합니다.이 단계에서 사용자는 MPH 토큰과fundingID(대체 불가능한 토큰)를 얻을 수 있습니다.

다음으로 공격자는 1단계와 2단계에서 얻은 depositID와fundingID를 earlywithdraw() 함수에 전달하여 이 두 단계에서 예치된 자산을 추출합니다. 즉, 공격자는 1단계에서 원래 1년 동안 잠긴 암호화 자산을 미리 인출하고 이때 공격자는 아무런 이자를 받지 않으므로 2단계에서 제공된 자금도 원래대로 반환됩니다. 방식으로 MPHMinter는 1단계에서 발행된 모든 MPH 토큰에서 소멸됩니다. 2단계에서 발행된 MPH 토큰은 소멸되지 않습니다. 공격자는 이를 악용하여 2단계에서 발행된 $100,000 상당의 MPH 토큰을 비용 없이 획득했습니다.

보조 제목

다른 허점을 이용하여 그것을 피하십시오

사실 MPHMinter 계약에는 여전히 허점이 있고 개발자는 이 허점을 악용하여 탈출에 성공하여 당분간 공격으로 인한 경제적 손실은 발생하지 않았습니다.

먼저 개발자는 takeBackDepositorReward를 호출하여 Uniswap V2: MPH 4에서 획득한 MPH 토큰을 govTreasury(mph의 재무부와 동일)로 전송합니다. 이 기능에는 임계값이 없으며 누구나 이 함수를 호출하여 MPH 토큰을 govTreasury 중간으로 전송할 수 있습니다.

공격자가 획득한 MPH 토큰을 Uniswap V2: MPH 4 풀에 예치하고 88mph 프로젝트 팀이 자체적으로 풀을 비운 후 스냅샷을 찍어서 아직 경제적 손실이 발생하지 않았기 때문입니다.

PeckShield 담당자는 "해커의 공격은 프로젝트를 파괴하거나 '종료'할 수 있습니다. DeFi 사람들은 운이 좋지 않아야 하며 적절한 예방 조치를 취해야 합니다. 이를 이해하지 못하면 전문 감사를 찾아야 합니다. 코드를 철저히 감사하고 연구하여 다양한 위험을 방지합니다.”

개발자가 작성하는 모든 코드는 산업 생산의 나사와 같으며 아주 작더라도 DeFi 산업의 성패와 밀접한 관련이 있습니다.

DeFi 생태계는 아직 초기 단계에 있지만 블록체인의 핵심 가치는 보편적 신뢰에 있습니다.DeFi 사람들이 여전히 맹목적으로 메인넷의 빠른 출시를 추구하고 코드의 감사 보안을 무시한다면 결국 커뮤니티 구성원의 신뢰를 없애고 영혼이없는 몸이됩니다.