区块链分析公司 Peck Shield 于周日上午发布警告称,一名攻击者设法从 Beanstalk Farms 中提取了价值约 1.82 亿美元的加密货币。据悉,作为一个旨在平衡不同加密货币资产供需的去中心化金融(DeFi)项目,攻击者利用了 Beanstalk 的“多数投票治理系统”,这也是诸多 DeFi 协议的核心功能。
扣去执行攻击所需注入的一些资金,预计黑客的“净利润”在 8000 万美元左右。不久后,Beanstalk 在一条推文中证实了这轮攻击,并声称会在调查后尽快向社区发布公告。
Beanstalk 自诩为“就与分布式信用的稳定币协议”、且运行着一套协议。参与者通过向中央资金池(筒仓 / silo)注入资金而获得奖励,而该资金池会借助 bean 代币实现币值的平衡(约 1:1 美元)。
与许多其他 DeFi 项目一样,Beanstalk 的创建者(Publius 开发团队)引入了一套治理机制,以允许参与者对代码更改进行集体投票。
然后他们将获得与其持有的代币价值成比例的投票权,但这也产生了一个明显易被别有用心的攻击者所滥用的漏洞。
截图(来自:Etherscan)
接着攻击者结合了另一款名为“闪贷”(flash loan)的 DeFi 产品,向 Beanstalk 平台发起了可在极短时间内(几分钟、甚至数秒)借入大量加密货币的行动。
原本 flash loan 旨在提供利用流动性的价格套利机会,但最新攻击已经无情地表明它也可被用于更邪恶的黑客攻击目的。
DAO 项目被阴霾深深笼罩(via Kraken)
区块链安全公司 CertiK 分析指出,Beanstalk 攻击者利用了名为 Aave 的 DeFi 协议、以借入近 10 亿美元的加密货币资产。然后将其转换为足够的 bean,以获得该项目 67% 的投票权。
凭借这一绝对多数的投票权,他们得以批准执行将资产转移到自己钱包的代码、同时立即偿还闪贷,最终获得 8000 万美元的净利润、而整个攻击过程甚至不到 13 秒。
转自 cnBeta ,原文链接:https://www.cnbet *** /articles/tech/1259947.htm
封面来源于 *** ,如有侵权请联系删除
Microsoft Defender for Endpoint 今天出现了非常严重的误报事件,竟然将自家的 Office 应用程序更新 OfficeSvcMgr.exe 检测为勒索软件。今天早些时候,系统管理员在更新 Microsoft Defender for Endpoint 时注意到了恶意程...
Hackernews 编译,转载请注明出处: 一个名为“RED-LILI”的攻击者发布了近800个恶意模块,与正在进行的针对 NPM 软件包库的大规模供应链攻击活动联系紧密。 以色列安全公司 Checkmarx 说: “通常,攻击者使用一个匿名的一次性 NPM 帐户发动攻击。”“这一次,攻击...
Windows 10/11 系统中的 Windows 安全中心现在变得更令人安心了。正如微软操作系统安全和企业副总裁 David Weston 所宣布的那样,内置的免费 Windows 杀毒软件现在提供了一个新的选项,可以防止脆弱的驱动程序。只不过目前还没有在 Windows 11 系统中看到这个选...
Krebs On Security 周二警告称:黑客正越来越多地利用受感染的政府和警察部门的电子邮件账户,以从移动运营商、互联网服务提供商(ISP)和社交媒体公司榨取敏感的客户信息。周四,美国参议院内精通技术的议员之一表示,其对这份报告感到很是不安,并且已向科技企业和联邦机构发去询问,以了解此类活动...
一名安全研究人员发现了Cue Health公司家用COVID-19检测试剂盒的一个漏洞,可能会让用户伪造结果。Cue Health的COVID-19检测试剂盒是一种蓝牙操作的分子测试,可以在20分钟内检测出阳性标本。该系统使用鼻拭子测试冠状病毒,鼻拭子被插入一个一次性盒中,由电池供电的Cue阅读器进...