NFT:死神來了之重入攻擊，Fei Protocol漏洞導致7935萬美元被盜事件分析_BER

北京時間2022年2022年4月30日，FeiProtocol宣布他們正在調查RariFuse池上的一個漏洞。目前該項目已經暫停了所有借款以減少進一步的損失，并公開向攻擊者提供1000萬美元用以交換黑客所盜的用戶資金，并保證不事后進行追問。

目前報告的總損失約為7935萬美元，攻擊者已經向TornadoCash發送了5400個ETH，不過他們的錢包里仍持有22,672.97個ETH。這次攻擊已經耗盡了Rari幣池的資金，Fei幣池暫未受到影響。

美馬薩諸塞州提交法案擬創立“區塊鏈特別委員會”:金色財經報道，兩項與加密相關的法案被提交給美國馬薩諸塞州眾議院，第一項涉及創立“區塊鏈特別委員會”，第二項涉及“保護加密貨幣交易中的消費者”。據悉，名為“建立區塊鏈和加密貨幣特別委員會的法案”由馬薩諸塞州代表 Josh S. Cutler 和 Kate Lipper-Garabedian 提交，旨在馬薩諸塞州眾議院內成立一個指導小組來研究區塊鏈技術，成員包括眾議院議長、少數黨領袖和參議院議長，主要研究政府使用區塊鏈技術的可行性、有效性、可接受性和風險，數字資產和加密貨幣對馬薩諸塞州收入的潛在影響等。（cryptoslate）[2023/1/23 11:27:16]

一位Rari團隊成員在項目Discord中回應了此事，并表示"Fuse中的一些借貸人可能受到影響"，以及"Fuse池中的PCV可能會有風險"。該Rari團隊成員還證實，僅可借貸的資產易受攻擊，不過目前該情況已得到改善。

頂級F1方程式VIP俱樂部Amber Lounge與SO-COL合作推出VIP會員NFT:10月1日消息，頂級F1方程式VIP俱樂部Amber Lounge正在與Web3 KOL Irene Zhao創立的Web3 NFT基礎設施公司SO-COL合作推出VIP會員NFT。該NFT開放2000個終身會員資格，將在新加坡大獎賽上推出。其中，Shark Membership NFT將在新加坡大獎賽期間鑄造，這將授予NFT所有者終身訪問全球所有Amber Lounge活動的權限，例如F1大獎賽、卡塔爾國際足聯世界杯等。包含更多特權的Whale Membership NFT將在接下來的幾個月內發布。

據悉，曾出席過Amber Lounge活動的名人嘉賓包括Lewis Hamilton、Nico Rosberg、Justin Bieber、Kim Kardashian、Richard Branson、Gordan Ramsay、Pamela Anderson、Kylie Minogue等。今年也會有著名的Web3創始人加入。[2022/10/1 18:36:59]

初步報告顯示這個漏洞很可能是因為重入問題導致的，這是智能審計中最常見的錯誤，也是諸多漏洞產生的罪魁禍首——例如2016年臭名昭著的TheDAO黑客事件和近年來受害的幾個主要協議↓

Celsius再次還款3440萬枚DAI，清算價格已下降至2722美元:7月6日消息，鏈上數據顯示，加密借貸平臺Celsius Network再次向去中心化借貸協議Maker償還了3440萬枚DAI，將WBTC清算價格下降至2722.06美元。

自7月1日以來，Celsius已向Maker償還了1.83億美元的抵押債務，并從Maker釋放了2000枚WBTC的抵押資產，Celsius仍欠Maker4100萬枚DAI貸款，目前有約2.2萬枚WBTC（價值約4.4億美元）作為這些貸款的抵押品。（CoinDesk）[2022/7/6 1:53:34]

○2020年4月Uniswap/Lendf.Me被黑客利用重入漏洞進行攻擊，受盜資產500萬美元，

○?2021年5月BurgerSwap因虛假合約及一個重入性的漏洞被黑客惡意利用，受盜資產720萬美元。

○?2021年8月SURGEBNB受盜，黑客似乎是利用了基于重入的價格操縱來進行攻擊，本次事件受盜資產400萬美元。

○?2021年8月CREAMFINANCE的重入性漏洞可讓黑客進行二次借貸，受盜資產1880萬美元。

○?2021年9月Siren協議遭受攻擊，受盜資產350萬美元——其AMM池被重入式攻擊。

CertiK本周在medium上發布了一篇關于重入式攻擊的文章：https://certik.medium.com/what-is-a-reentrancy-attack-6516fefc001該文近期將于CertiK官方公眾號發布中文版，請小伙伴們持續關注！

寫在最后

如此看來，將近8000萬美元的受盜資產令FeiProtocol成為有史以來規模最大的重入式攻擊受害者。2022年4月1日，RariCapital在Medium上發布了一份安全升級報告，稱他們已經修補了一個與Fusepools有關的安全問題。

這個補丁可阻止函數所需的重入，以此修復了Compound的已知漏洞。盡管這一手段可保護許多系統功能，但并未能對exitMarket()生效。即使全局重入鎖處于激活狀態，當惡意攻擊者收到ETH時，他們就可調用exitMarket()。

FeiProtocol在本月初也曾遇到一些問題，當時他們本可以在漏洞發生之前阻止但情況并非如此盡如人意：他們通過漏洞賞金計劃發現了一個bug，導致他們在修復漏洞的同時關閉了rebateprogram。

截至目前，FeiProtocol團隊還沒有正式宣布他們的調查結果。

Tags：BERNFTCOLMBEBERRYNFTC幣COLLIEXLMBEAR

火必交易所