DAO:yDAI受創，Curve“喜”收意外之財_Freedom God Dao

Author：

Time：1900/1/1 0:00:00

兩級反轉？黑客攻擊yDAI保險庫后，Curve坐收漁翁之利。北京時間2月5日，YearnFinance發推文表示v1yDAI保險庫遭到攻擊。YearnFinance核心開發者@banteg表示：“保險庫被利用，攻擊者獲得280萬美元，保險庫損失1100萬美元。在我們調查期間，v1DAI、TUSD、USDC、USDT保險庫的策略存款將禁用。”PeckShield通過追蹤和分析發現，此次攻擊與此前安全研究員Wen-DingLi所披露的在Yearn.finance的TUSDVault上發生的快速貸款攻擊漏洞相似。

CityDAO Discord管理員帳戶遭黑客入侵，被盜95000美元資金:1月15日消息，基于以太坊的社區區塊鏈城市項目CityDAO推特發文稱，CityDAO Discord管理員帳戶已被黑客入侵。黑客使用被盜的管理員賬戶發布虛假的土地空投消息，29.67 ETH（95,000 美元）資金被盜。遭攻擊的管理員“Lyons800”在推特上表示，這次攻擊是“來自 Discord 的荒謬安全漏洞”。CityDAO 的創始人于去年11月在美國懷俄明州購買了40英畝的土地，旨在建設一個“區塊鏈城市”。[2022/1/15 8:50:37]

YFI籌碼分析：總共30000個近三分之一在YDAO:微博大V“超級比特幣”對DeFi代幣YFI進行分析，詳情如下：

YFI籌碼分析：總共30000個。

1. 近三分之一在YDAO，參與治理，年化收益率4%；相當感人，這是很低的收益。好像“收益優先”法則在這里失效了。

2. Aave抵押借貸3300個，感人，很多人是抵押出USDT，再去買YFI。

3. Binance，2621個，搏殺。

4. 參與YFV挖礦500多個。

5. YFI的機關池500多個，在冰淇淋挖礦。[2020/8/30]

首先，攻擊者從dYdX和AaveV2借出閃電貸；隨后，攻擊者利用所借資產通過對3pool的存取操作導致其中代幣不平衡；接下來，攻擊者將DAI存放至yDAI保險庫中，觸發繼續投資到受影響的策略投資中，惡化了3pool中不平衡交易的狀態，攻擊者立即從惡化的不平衡狀態中獲利；攻擊者重復利用上述步驟并且避免觸發0.5%的滑點控制，最終償完一開始的閃電貸，造成yDAI保險庫損失1100萬美元。值得注意的是，受影響的策略有執行滑點控制，但目前沒有提幣費用，這使得漏洞有利可圖。為了避免觸發滑點控制，攻擊者反復利用上述步驟，確保攻擊成功。攻擊發生后，YearnFinance立即禁用保險庫策略。

聲音 | HumanityDAO團隊：所謂“踢出用戶”系注冊標準更新將對被拒用戶做出補償:據HumanityDAO官方消息，此前網友爆料HumanityDAO團隊“踢出用戶”，實際系注冊標準更新，將對被拒用戶做出補償。HumanityDAO官方發文稱，考慮推特在加密世界發揮的作用，HumanityDAO團隊將用戶注冊標準中身份驗證與推特掛鉤，用戶將推特賬戶鏈接至其Ethereum地址，并標記@HumanityDAO，以便進行身份驗證，同時方便其他用戶關注了解HumanityDAO。但對于團隊沒有就該標準更新提前說明規則就采取行動向用戶表示歉意，同時將對那些被拒的、真正的早期注冊使用用戶做出補償，將分發500份代幣，12個Dai(目前系統中是1年全民福利UBI)，并向迄今為止每一位被拒絕的申請者退還費用。[2019/5/21]

做遏制DeFi借貸波動利率“無形的手”？YearnFinance保險庫還不夠保險。2020年9月底YearnFinance的開發人員就曾披露修補了可能會使yDAI，yTUSD和yUSD保險庫的資金面臨風險的漏洞。11月TUSDVault上出現的快速貸款又出現同類攻擊漏洞后，所幸迅速修復。多次修修補補后，仍未逃過一擊。PeckShield安全公司多次提醒，項目方不僅要將代碼做到極致，還要防患于未然，一旦有DeFi攻擊事件發生，就要自查代碼，及時查缺補漏。截至目前，YearnFinance核心開發者banteg表示，黑客已經竊取了51.3萬枚DAI和170萬美元的USDT，其余的以CRV代幣的形式存在。Aave創始人StaniKulechov則表示，這次攻擊包含一個復雜的漏洞，涉及多個DeFi平臺的160多筆交易，花費了逾5000美元的Gas費用。