编者按：本文来自巴比特资讯，编译：隔夜的粥，星球日报经授权发布。北京时间9月14日消息，DeFi借贷协议bZx再次遭到攻击，而这次攻击共造成了大约800万美元的损失，据bZx联合创始人KyleKistner最初提到称：“这似乎是一次预言机操纵攻击。”在攻击被发现后，bZx团队立即使用管理密钥暂停了协议，据悉这次攻击交易利用了闪电贷和Synthetix，“但它不会影响Synthetix系统，尽管它确实涉及了sUSD，”bZx在twitter上写道。而bZx官方在最新公布的安全报告中提到称：“由于一次代币重复事件，协议保险基金暂时累积了一笔债务。除了协议现金流外，保险基金还会得到代币库的支持。”以下是这次安全事故的时间线：bZx团队注意到协议锁定值出现了异常变动；发现iToken合约有异常，该异常的发生与_internalTransferFrom()函数相关；在确定修复方案后，iToken的铸造和燃烧被暂停；受影响的iToken合约的新版本得到部署，余额得到更正；团队将补丁代码发送给派盾和Certik进行审查；iToken的铸造及燃烧恢复；攻击技术细节
DeFIL2.0智能合约已通过慢雾科技安全审计:据官方消息，DeFIL2.0智能合约已通过慢雾科技安全审计，并已发布完整审计报告。根据审计报告显示，本次慢雾科技对DeFIL2.0包括平台通证DFL的发行及销毁智能合约、FIL标准算力通证FILST发行智能合约等进行了全面审计，并给出了通过慢雾安全审计，各项安全指标全部合格的结论。投资人可至慢雾科技官网输入Token名称（DFL或FILST）、合约地址或审计编号：NO. 0X002108300001进行查询。[2021/9/2 22:54:03]
每个ERC20代币都有一个transferFrom()函数是用于负责传输代币的。你可以调用这个函数来创建一个iToken并将其传递给自己，从而允许你人为地增加余额。下面是攻击涉及的技术细节：使用相同的_from和_to地址调用了传输函数；用相同的参数调用Immediately_internalTransferFrom；下面的代码行存在故障：
Uniswap Labs首席法务官：DeFi的出现不意味着现有金融服务业的终结:官方消息，Uniswap Labs首席法务官Marvin Ammori在其文章中指出，一些怀疑论者认为DeFi是一场理想主义的运动，注定会永远沦为互联网的阴影。但由于其在结算效率、风险管理和可访问性方面的创新，DeFi很可能成为金融基础设施的核心部分，不仅适用于加密货币，还可能适用于所有其他类别的市场。DeFi的出现不会意味着现有金融服务业的终结（就像互联网并没有完全杀死印刷品一样）。对于传统金融服务和其他公司而言，DeFi让他们能够专注于自己的核心结构优势——托管产品、大宗经纪业务、法币入口、客户服务等。文章最后指出，最重要的是，每一波加密技术都吸引了数以万计的工程师和企业家，这正是DeFi未来的构建方式。[2021/6/20 23:51:06]
霍比特交易所DeFi币种整体上涨，DF 24小时涨幅59.33%:据霍比特交易所行情页显示，DF、OKS、JST等平台内DeFi板块币种今日整体上涨，其中DF位于今日涨幅榜首位，24小时涨幅59.33%，现报价0.8935USDT；OKS24小时涨幅56.13%，现报价0.1235USDT；JST24小时涨幅39.48%，现报价0.073USDT。
dForce由招银国际、Mutilcoin Capital、火币资本战略投资，创始人杨民道，曾担任渣打银行直投部董事，是区块链行业早期的投资人，参与了0.3美金的以太坊私募。DF是dForce项目通证，dForce旨在构建一个完整的开放式金融生态，包括稳定资产、流动性协议、借贷市场、衍生品市场等。
霍比特交易所是100%持币者共享的交易平台，推出全新的10倍PE定价回购模型及霍比特队长激励模型，并推出平台资产透明和交易数据可信机制。霍比特交易所由火币、OKEx等56家资本共同投资，主营币币、合约、杠杆、期权等业务，平台上主流币及合约交易拥有优秀流动性和深度。更多行情见原文链接链接。[2020/8/11]
当_from和_to地址相同时，会导致_balancesFrom和_balancesTo相等。
代币上市平台CoinList扩展至DeFi市场:金色财经报道，由推特首席执行官Jack Dorsey和Polychain Capital支持的代币上市平台CoinList已悄然进入去中心化金融（DeFi）市场。该公司表示，自2月份为机构推出WBTC/BTC服务以来，迄今为止已铸造WBTC总供应量的25％，其交易量占总日均交易量的20％。CoinList现将该服务向所有用户开放。[2020/4/23]
那么上面的问题导致_balancesFrom余额的减少，并增加_balancesTo的余额，最后最重要的部分是保存_balancesFromNew和_balancesToNew。那么攻击者就能够有效地人工增加自己的余额。然后，下面就是补丁代码：
这可以防止攻击者增加自己的余额，据悉，修补后的代码已被发送给Peckshield和Certik进行审查，而双方都批准了这些更改。安全事故造成近800万美元债务
尽管，bZx代码漏洞很快得到了解决，但这次安全事故确实造成了协议很大的损失，根据官方公布的信息显示，这次事件导致了以下这些债务：219,199.66LINK4,502.70ETH1,756,351.27USDT1,412,048.48USDC667,988.62DAI以当前市场价计算，这些损失的代币的价值达到了800万美元。
审计并不是灵丹妙药
根据Bzx团队公开的信息显示，该协议此前已经过安全公司Peckshield及Certik的严格审计，其中Peckshield对bzx协议的审计用到了12人周的工作量，而Certik则花费了7人周的工作量。此外，bzx协议团队还进行了广泛的自动化测试，不幸的是，审计并不是灵丹妙药。而在这次安全事件中，由于bzx协议团队控制了管理密钥，因而能够及时地应对这一事件，否则损失问题将会更大。显然，这次事故再次为我们敲响了DeFi安全性的警钟，即便是得到审计公司的把关，也无法确保代码不存在漏洞，而近期涌现出来的大量新DeFi项目，它们的安全隐患显然要更大。最后，一首凉凉，送给流动性挖矿。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。