關於 @ResupplyFi 出事一事,大家有不少聯想與情緒,這邊我想說幾點,也希望幫助大家釐清一些脈絡:
首先,@CurveFinance 團隊並未參與 Resupply開發,這一點 @newmichwill 已公開澄清,Curve 內部沒有人加入這個項目。而且 Resupply 本身是 @yearnfi 的 SubDAO,這在他們官方推特上也有寫明。Resupply 選用了 crvUSD 作為底層資產之一,這是協議的選擇,並不代表 Curve 有實質關聯。
儘管如此,這仍是一個令人遺憾的事件。Resupply 的開發者 @C2tP 最終自掏腰包捐出了超過 139 萬美元,用於償還壞帳,這份負責任的態度值得尊敬。
另一方面,也想特別感謝 @ohyishi 老闆 與他所代表的監督角色。他在推特上對於 Prisma、Resupply,甚至 Curve 所提出的種種觀察、批評與顧慮,其實非常重要。DeFi 這個去中心化金融的世界,如果少了這些持續提出問題的人,我們會看不見風險,也就無從進步。
無論正面或負面,這些聲音讓協議方意識到使用者的擔憂,也讓項目方學會如何更清楚地表達、治理與回應社群。Yishi 所代表的這種角色,本身就是一種貢獻。這不只是技術上的對錯,而是價值觀上的相互提醒。
從 DeFi Summer 走到今天,我們目睹過許多創新、也經歷過一次次的打擊。Uniswap、Aave、Curve 的誕生,本就是從一連串「不怕失敗」的試驗中淬鍊出來的成果。但這幾年,越來越多協議選擇保守、避免創新,因為一個新的合約可能就意味著成百上千萬美元的風險。
這種停滯,其實是更大的風險。
我們不應該只紀念過去的 DeFi Summer,而是要問:我們還能不能再創造一次?還能不能容許失敗、保護創新、集體學習?
- - - - - - 相關連結 - - - - - -
👉🏻
👉🏻
- - - - - - 相關連結 - - - - - -
最後聲明一下:本人與 Resupply 團隊並無任何關聯,也沒參與過其挖礦行為。這篇僅是我作為旁觀者、DeFi參與者和建設者的一些觀察與心聲。
看到 onekey 老板维权 Resupply,损失几 M 资产,感叹 Defi 真的太脆弱了。看了一圈,似乎都没有讲的特别清楚黑客到底是怎么攻击的,所以我自己做了点研究,分享给大家:
故事的主角是 ResupplyPair,用户可以通过质押资产进行借贷,合约中的 isSolvent 修饰符负责检查用户是否有资格借出请求的资产,具体代码逻辑为:
可以看到 282 行对 ltv 的计算,如果我们有办法将 _exchangeRate 置为 0,那检查不就恒成立?继续阅读代码:
可以看到这个值的变量来自于对预言机 getPrices 的调用,且是分母,换句话说我们需要使 collateral 的价格极大。
阅读预言机的代码可以知道 getPrices 只是一层转发,实际是调用了这个质押资产(即金库)的 convetToAssets 接口。继续阅读代码:
可以看到这个结果由很复杂的数学运算组成,这里黑客就是通过放大分子,更进一步地 total_assets,完成的攻击,查看 _total_assets 函数实现可以发现:
这个值和这个金库的 controller 合约所持有的 borrowed_token,也就是 crvUSD 有关。
分析到这里其实就清晰了,ResupplyPair 创建时使用了一个空的金库,黑客通过向金库的 controller 合约转入了一定量的 borrowed_token,最终使得 _exchangeRate 归零,从而使得自己的质押资产价值无限放大,使用极小的成本就借出了高达 10M 的 reUSD。
攻击交易:
ResupplyPair 合约地址:
金库 controller 合约地址:
金库合约地址:
预言机合约地址:




4,132
0
本頁面內容由第三方提供。除非另有說明,OKX 不是所引用文章的作者,也不對此類材料主張任何版權。該內容僅供參考,並不代表 OKX 觀點,不作為任何形式的認可,也不應被視為投資建議或購買或出售數字資產的招攬。在使用生成式人工智能提供摘要或其他信息的情況下,此類人工智能生成的內容可能不準確或不一致。請閱讀鏈接文章,瞭解更多詳情和信息。OKX 不對第三方網站上的內容負責。包含穩定幣、NFTs 等在內的數字資產涉及較高程度的風險,其價值可能會產生較大波動。請根據自身財務狀況,仔細考慮交易或持有數字資產是否適合您。