Về sự cố của @ResupplyFi, mọi người có nhiều liên tưởng và cảm xúc, ở đây tôi muốn nói vài điểm, cũng hy vọng giúp mọi người làm rõ một số bối cảnh: Đầu tiên, đội ngũ @CurveFinance không tham gia phát triển Resupply, điều này đã được @newmichwill công khai làm rõ, không có ai trong Curve tham gia vào dự án này. Hơn nữa, Resupply bản thân là SubDAO của @yearnfi, điều này cũng đã được nêu rõ trên Twitter chính thức của họ. Resupply đã chọn crvUSD làm một trong những tài sản cơ bản, đây là sự lựa chọn của giao thức, không có nghĩa là Curve có mối liên hệ thực chất. Dù vậy, đây vẫn là một sự kiện đáng tiếc. Nhà phát triển của Resupply, @C2tP cuối cùng đã tự bỏ tiền túi quyên góp hơn 1,39 triệu USD để trả nợ xấu, thái độ có trách nhiệm này thật đáng kính trọng. Mặt khác, tôi cũng muốn đặc biệt cảm ơn ông chủ @ohyishi và vai trò giám sát mà ông đại diện. Những quan sát, chỉ trích và lo ngại mà ông đã đưa ra trên Twitter về Prisma, Resupply, thậm chí là Curve, thực sự rất quan trọng. Trong thế giới tài chính phi tập trung DeFi, nếu thiếu những người liên tục đặt câu hỏi như vậy, chúng ta sẽ không nhìn thấy rủi ro và do đó không thể tiến bộ. Dù là tích cực hay tiêu cực, những tiếng nói này khiến các bên giao thức nhận thức được mối lo ngại của người dùng, và cũng giúp các dự án học cách diễn đạt, quản lý và phản hồi cộng đồng một cách rõ ràng hơn. Vai trò mà Yishi đại diện thực sự là một đóng góp. Đây không chỉ là đúng sai về mặt kỹ thuật, mà còn là sự nhắc nhở lẫn nhau về giá trị. Từ DeFi Summer đến hôm nay, chúng ta đã chứng kiến nhiều đổi mới và cũng trải qua nhiều cú sốc. Sự ra đời của Uniswap, Aave, Curve chính là kết quả từ một loạt các thử nghiệm "không sợ thất bại". Nhưng trong những năm qua, ngày càng nhiều giao thức chọn cách bảo thủ, tránh đổi mới, vì một hợp đồng mới có thể đồng nghĩa với hàng triệu đô la rủi ro. Sự trì trệ này thực sự là một rủi ro lớn hơn. Chúng ta không nên chỉ tưởng niệm DeFi Summer trong quá khứ, mà còn phải hỏi: Chúng ta có thể tạo ra một lần nữa không? Chúng ta có thể cho phép thất bại, bảo vệ đổi mới, học hỏi tập thể không? - - - - - - Liên kết liên quan - - - - - - 👉🏻 👉🏻 - - - - - - Liên kết liên quan - - - - - - Cuối cùng, tôi xin tuyên bố rằng tôi không có bất kỳ mối liên hệ nào với đội ngũ Resupply và cũng không tham gia vào hoạt động khai thác của họ. Bài viết này chỉ là một số quan sát và tâm tư của tôi với tư cách là một người quan sát, người tham gia DeFi và người xây dựng.
Thấy ông chủ onekey bảo vệ quyền lợi Resupply, mất vài triệu tài sản, cảm thán Defi thật sự quá mong manh. Nhìn quanh, dường như không ai nói rõ ràng về cách mà hacker tấn công, vì vậy tôi đã tự nghiên cứu một chút và chia sẻ với mọi người: Nhân vật chính trong câu chuyện là ResupplyPair, người dùng có thể vay mượn tài sản bằng cách thế chấp. Modifier isSolvent trong hợp đồng chịu trách nhiệm kiểm tra xem người dùng có đủ điều kiện để yêu cầu vay tài sản hay không, logic mã cụ thể là: Có thể thấy dòng 282 tính toán ltv, nếu chúng ta có cách đặt _exchangeRate thành 0, thì việc kiểm tra không phải lúc nào cũng đúng sao? Tiếp tục đọc mã: Có thể thấy giá trị này là biến đến từ việc gọi oracle getPrices, và là mẫu số, nói cách khác, chúng ta cần làm cho giá của tài sản thế chấp cực lớn. Đọc mã của oracle có thể biết getPrices chỉ là một lớp chuyển tiếp, thực tế là gọi giao diện convertToAssets của tài sản thế chấp (tức là kho). Tiếp tục đọc mã: Có thể thấy kết quả này được tạo thành từ các phép toán toán học rất phức tạp, hacker đã phóng đại mẫu số, và hơn nữa là total_assets, hoàn thành cuộc tấn công, xem xét việc thực hiện hàm _total_assets có thể phát hiện: Giá trị này liên quan đến borrowed_token mà hợp đồng controller của kho nắm giữ, tức là crvUSD. Phân tích đến đây thì đã rõ ràng, ResupplyPair khi được tạo ra đã sử dụng một kho rỗng, hacker đã chuyển một lượng borrowed_token nhất định vào hợp đồng controller của kho, cuối cùng làm cho _exchangeRate về 0, từ đó làm cho giá trị tài sản thế chấp của mình tăng vô hạn, với chi phí cực nhỏ đã vay được tới 10 triệu reUSD. Giao dịch tấn công: Địa chỉ hợp đồng ResupplyPair: Địa chỉ hợp đồng controller của kho: Địa chỉ hợp đồng kho: Địa chỉ hợp đồng oracle:
Hiển thị ngôn ngữ gốc
4,12 N
0
Nội dung trên trang này được cung cấp bởi các bên thứ ba. Trừ khi có quy định khác, OKX không phải là tác giả của bài viết được trích dẫn và không tuyên bố bất kỳ bản quyền nào trong các tài liệu. Nội dung được cung cấp chỉ nhằm mục đích thông tin và không thể hiện quan điểm của OKX. Nội dung này không nhằm chứng thực dưới bất kỳ hình thức nào và không được coi là lời khuyên đầu tư hoặc lời chào mời mua bán tài sản kỹ thuật số. Việc sử dụng AI nhằm cung cấp nội dung tóm tắt hoặc thông tin khác, nội dung do AI tạo ra có thể không chính xác hoặc không nhất quán. Vui lòng đọc bài viết trong liên kết để biết thêm chi tiết và thông tin. OKX không chịu trách nhiệm về nội dung được lưu trữ trên trang web của bên thứ ba. Việc nắm giữ tài sản kỹ thuật số, bao gồm stablecoin và NFT, có độ rủi ro cao và có thể biến động rất lớn. Bạn phải cân nhắc kỹ lưỡng xem việc giao dịch hoặc nắm giữ tài sản kỹ thuật số có phù hợp hay không dựa trên tình hình tài chính của bạn.