Opyn:鏈上期權協議Opyn合約漏洞損失37萬美元 官方還原攻擊過程及影響_ETH

北京時間今日凌晨00:56，Opyn官方推特發文宣稱「官方團隊發現部分oToken合約出現異常，已經開始著手解決這一問題。目前已經從Uniswap上暫時移除了受影響合約的流動性，并建議用戶暫時不要創建新的合約」

事件發生后不久@defiprime官推發文稱可能有至少302枚ETH在此次黑客攻擊中失竊，而在這則消息發布后不久@defiprime又轉發@DegenSpartan的結論稱失竊的ETH數額可能會超過1000枚，而這一數字仍然沒有得到最終確認。

據@udon_crypto分析指出，本次黑客攻擊受影響的合約為oETH，黑客在使用ETH鑄造oETH后迅速行權，而Opyn合約不僅僅支付了原本就應當支付的行權價值的USDC，還「額外返還」了鑄造對應oETH時使用的ETH。簡單來說就是黑客通過一個簡單的操作就實現了ETH資產的「翻倍」。

該消息在網絡上迅速發酵，在此期間不止一位用戶向Opyn官方團隊反應資金遭受了損失，這些反饋以及該事件在社交媒體上的快速擴散引發了官方團隊的高度重視。在經過了近6個小時的排查整理后，Opyn官方Medium賬號在北京時間6:50發布了本次黑客攻擊事件的公告，詳細還原了本次黑客攻擊的全貌，并且在第一時間做出了一系列回應，全文如下：

鏈上期權協議 Opyn 推出開發者工具套件，方便開發者搭建期權類產品:鏈上期權協議 Opyn 宣布推出開發者工具套件（Developer Toolkit），為開發者提供可方便在 DeFi 協議中搭建期權產品的工具。首批將提供的工具、模板和實用程序包括 Vesting Call Options、清算機器人、通過期權實現永續合約的金庫模板、為 Opeth 提供 Uniswap V3 部分抵押的期權流動性池等。Opyn 團隊表示，目前通過 Opyn 協議搭建的產品為 Ribbon Finance、Opeth、Fontis、Optional、Opyn Trade Bot、Gamma Portal 和 Opyn Monitor。[2021/6/26 0:07:37]

除ETH看跌期權合約外的所有其他Opyn合約均未受到此漏洞的影響。在發現漏洞后Opyn官方團隊已經做出了一系列應對措施盡可能控制損失，并承諾會對因此漏洞遭受損失的用戶提供足夠的支持及幫助。

鏈上期權協議FinNexus疑似被攻擊:金色財經報道，據The Block研究分析師推特消息，鏈上期權協議FinNexus疑似被攻擊。其合約部署者將代幣所有者更改為以太坊和BSC上的某個地址。這個地址在以太坊上鑄造了3.23億枚FNX（價值600萬美元），在BSC上鑄造了6000萬枚FNX（價值160萬美元），并已開始拋售代幣。[2021/5/18 22:12:37]

發生了什么？

大約在12個小時之前官方團隊成員在Discord中收到了用戶的反饋，并發現有人正在惡意利用Opyn的ETH看跌期權漏洞牟利。黑客通過oToken的「雙重行權」竊取了部分看跌期權賣方在發售期權時抵押的ETH。Opyn官方雖然利用ConvexityProtocol通過白帽黑客攻擊從保障金庫中收回了439,170枚USDC，但是截止發文時段仍然已經確認有371,260枚USDC被盜。

因為Opyn是一種無許可的去中心化協議，所以團隊無法像許多其他協議一樣直接關閉合約的訪問權限。為了盡可能控制損失，團隊在第一時間在Uniswap上刪除了ETH看跌期權池的流動性，并在Opyn.co網站上關閉了購買ETH看跌期權的通道，以防止更多人購買這些oToken。

鏈上期權協議 Opyn 舉辦 Meme 比賽和拍賣，總獎勵至少 3000 美元:鏈上期權協議 Opyn 宣布將進行兩周的「模因比賽」（Meme Contest），為前三名的金融或者期權相關的 Meme 進行獎勵，每位獲獎者的 Meme 將在 Rarible 上被鑄造成非同質化代幣（NFT），Opyn 將把起拍價設定為 1000 美元，但獎勵價值可能會遠遠超過 1000 美元，該 NFT 的所有收益將歸于 Meme 的創作者。[2021/3/20 19:02:42]

為了確保現有oToken持有者的權益，團隊將以高于Deribit期權市場價20％的價格購買在漏洞被利用時尚未行權的所有ETHPutoToken。

團隊立即與TrailofBits的samczsun合作開發了一個白帽補丁程序，該補丁程序使Opyn可以從未償付的保險金庫中刪除了439,170枚USDC的抵押品，以便安全地向看跌期權賣方提供抵押品。如果您的保險金庫中仍有資金，請通過Discord與我們聯系。該補丁降低了現有看跌期權合約的抵押率，并允許官方團隊進行自行清算，從而確保在Opyn團隊控制的地址內，未行權看跌期權的賣方的抵押品是安全的。

鏈上期權協議Opyn上線基于ETH、UNI和WETH的5款期權產品:鏈上期權協議Opyn宣布上線5款新的期權產品，分別是12月4日到期行權價460美元的WETH看跌期權，12月25日到期行權價500美元的ETH看漲期權，12月25日到期行權價640美元的ETH看漲期權，12月25日到期行權價3.5美元的UNI看跌期權和12月25日到期行權價4美元的UNI看漲期權。[2020/11/20 21:27:48]

除ETH看跌期權合約外的所有其他Opyn合約均不受此漏洞的影響。

我們了解到許多用戶因此損失了資金，這很令人難過，畢竟保護用戶資金的安全一直是團隊的頭等大事，我們將不懈地努力以重新獲得您的信任，并確保我們的合同具有更高的安全標準。未來團隊將對安全維度進行更嚴格的內部審查，除現有的OpenZeppelin審計外，還會增設審計，并采取一些措施來盡可能降低本次事件造成的用戶損失。針對這次的攻擊，團隊還將在未來幾天內發布更深入的技術分析文檔。

鏈上期權平臺Opyn宣布推出COMP看跌期權:鏈上期權平臺Opyn宣布推出COMP看跌期權，執行價格為150美元，到期時間為7月3日，擔保資產為USDC。同時，Opyn還將推出新的ETH看跌期權。

注：6月23日，Opyn宣布完成216萬美元融資，由Dragonfly Capital領投，其他參投方包括Version One Ventures、Uncorrelated Ventures、1kx、A. Capital、DTC Capital、CoinFund，以及個人投資者Balaji Srinivasan、Robert Leshner （Compound首席執行官）、Dylan Field和Linda Xie等人。[2020/6/26]

我是oToken持有人，我該怎么辦？

如果您當前持有ETH看漲期權，COMP看跌期權，BAL看跌期權，cToken看跌期權或aToken看跌期權，您無需采取任何措施。本次攻擊利用的漏洞不會影響到這些合約。

如果您目前持有ETH看跌權，請通過Discord聯系Opyn團隊，團隊將以高于Deribit市價20％的價格贖回您的看跌期權。

我是oToken賣家，我該怎么辦？

如果您出售了ETH看漲期權，COMP看跌期權，BAL看跌期權或cToken看跌期權，則無需采取任何措施，您的資金沒有任何風險。

如果您當前已出售ETH看跌權，請加入官方Discord獲取最及時的解決方案。目前官方正在制定具體方案來盡可能減輕本次事件對您的影響。

一旦發現漏洞，將Opyn關閉會有意義嗎？

官方無法關閉協議。Opyn是無許可且去中心化的，官方團隊并不能關閉或禁用Opyn合約。不過一旦發現漏洞，官方團隊將采取積極措施以最大程度地減少用戶的虧損。比如通過一些手段阻止進一步的攻擊發生以及盡可能保證可能受影響用戶抵押品的安全。

Opyn將來會采取什么措施來防止這種情況的發生？

Opyn協議的安全性一直是團隊最高優先級的事項。本次攻擊事件的發生讓用戶失望了，不過團隊會在未來對安全性這個維度更加重視，目前已經確認的有以下四步：

1）對于我們發布的任何合約，都將對其進行全面的內部測試。我們將重新梳理內部測試的流程，以使其更加強大；

2）所有合同將通過TrailofBit的Echidna系統進行驗證；

3）我們將繼續只發布經過審核的代碼，并與OpenZeppelin和TrailofBits等頂級審核公司合作；

4）我們將為現有的Bug賞金計劃增加賞金獎勵。

擴展閱讀：

Opyn是一個基于「Convexity協議」,建立在Ethereum區塊鏈上的通用期權協議，允許用戶使用其特有的oToken創建期權。Opyn.co提供了一個易于用戶使用的界面接口來買賣ETH的看跌和看漲期權。

Opyn在2019年創立初期，進行了保證金交易的業務嘗試，并在2020年2月轉型為保險平臺，用戶可以為其Compound的存款購買保險來規避該平臺的技術風險和相關金融風險。2020年3月末，Opyn推出了針對ETH持有者的第一批保護性期權，這些oTokens是通過Uniswap提供流動性的ETH看跌期權，故這些產品都可以視為DeFi用戶的保險類產品。所以Opyn平臺不是為投機而生的。

oToken由基于智能合約的Convexity協議支持。oToken智能合約的每個期權產品都必須指定的8個不同的參數:(1)到期時間(2)標的資產(3)執行價格(4)執行資產(5)看漲或看跌(6)抵押品類(7)抵押所需的保證金(8)美式或歐式期權。為了保障市場的流動性，目前期權的主要參數主要由OPYN來控制和創建。期權賣方可以通過在官方網站的界面，通過在一定期限內鎖定抵押物來創設期權代幣oToken。期權賣方可以在Uniswap上出售這些oTokens以賺取期權費。

目前，Opyn要求期權的賣方必須足額抵押。用戶開具ETH看跌期權合約并鑄造期權代幣，必須存入合約行權價的100%USDC金額作為保證金進行鎖定，同樣的，用戶開具ETH看漲期權合約并鑄造期權代幣，必須將相應數量的ETH存入合約并作為保證金進行鎖定。

由前述8個參數的不同組合而來的不同的期權，在Opyn中以不同的oTokens進行標記區分，并由單獨的智能合約控制。

參考：

https://medium.com/

https://twitter.com/

https://www.chainnews.com/

Tags：OpynPYNOPYETHOpyn SqueethOPY幣ETHFIN幣

FTX