COVER, ngôi sao đang lên trong ngành bảo hiểm DeFi, bị tấn công. Ngành bảo hiểm tự bảo vệ mình như thế nào?

Đọc bài viết này mất 8 phút

Bạn nên làm gì nếu công ty bảo hiểm của bạn bị tấn công?

Tiêu đề gốc: "Tân binh của ngành bảo hiểm DeFi COVER đã bị tấn công. Ngành bảo hiểm tự bảo vệ mình như thế nào?" 》

Nguồn gốc: PeckShield

Sau khi bước vào tháng 9, với dòng giao thức DeFi Thu nhập từ khai thác tình dục đã giảm mạnh, thị trường DeFi bắt đầu im ắng và các nhà thám hiểm đang tiến vào các lĩnh vực sâu hơn và rộng hơn.

Vào tháng 11, với sự ủng hộ của người sáng lập Yearn.finance Andre Cronje (AC) và sự phổ biến rộng rãi của token quản trị Sau khi nổi lên, Giao thức bảo hiểm phi tập trung đã xuất hiện, khiến bảo hiểm DeFi trở thành tâm điểm chú ý.

Một số người tin rằng "Các dự án bảo hiểm DeFi không chỉ có thể giảm tổn thất của các chủ hợp đồng mà còn cho phép mọi người được yên tâm hơn Tham gia vào DeFi và giúp cải thiện hệ sinh thái DeFi."

Tuy nhiên, khi khái niệm về bảo hiểm DeFi ngày càng trở nên phổ biến và phổ biến hơn, Khi còn nóng, Cover Protocol đã bị tấn công hai lần trong một khoảng thời gian ngắn và giá token của nó đã trải qua một chuyến đi tàu lượn siêu tốc đầy gay cấn.

Vào ngày 28 tháng 12 năm 2020, dự án bảo hiểm DeFi Cover Protocol bị nghi ngờ bị hack và giá token của nó thấp hơn tấn công Dưới ảnh hưởng, nó đã từng giảm mạnh từ hơn 700 đô la Mỹ xuống mức tối thiểu là 9 đô la Mỹ.

PeckShield nhận thấy qua theo dõi và phân tích rằng cuộc tấn công chủ yếu là do lỗi logic kinh doanh, dẫn đến tính toán sai các cam kết Phần thưởng của người dùng và bán chênh lệch giá trên các DEX khác nhau.

Đầu tiên, trong một khoảng thời gian chạy, kẻ tấn công trước tiên sẽ đưa cho Blacksmith một số mã thông báo LP và sau đó gọi trực tiếp hàm updatePool() để tính phần thưởng COVER thông qua pool.accRewardsPerToken bất thường;

Sau đó chuyển các hàm _claimCoverRewards() và _claimBonus() Ghi lại phần thưởng của người khai thác;

Cuối cùng ghi lại trạng thái của người khai thác, bao gồm cả số tiền đã cam kết. Số và mã hiển thị ở dòng 128 đến 131 là chức năng phần thưởngWriteoff và chức năng bonusWriteoff.

Cụ thể, giao thức hiện tại sử dụng pool.accRewardsPerToken để tính toán miner.amount.mul(pool trên dòng 130 .accRewardsPerToken .div(CAL_MULTIPLIER), vì loại nhóm ở dòng 118 là bộ nhớ và hàm updatePool() ở dòng 121 không cập nhật nó, dẫn đến phần thưởng được tính toán cuối cùngWriteoff nhỏ hơn số tiền dự kiến.

Lần tiếp theo, cùng một người dùng nhận được phần thưởng đặt cược, hợp đồng đặt cược như Blacksmith sẽ đúc thêm COVER, điều này sẽ tăng đáng kể số lượng tiền được đúc. Hiện tại, hơn 40.000.000.000.000.000.000 COVER đã được đúc trong lưu thông.

Kẻ tấn công thứ hai được mạng đánh dấu là địa chỉ mũ trắng Grap Finance. Sau khi kiếm được lợi nhuận, họ sẽ The số tiền thu được đã được trả lại cho nhóm Cover, số COVER còn lại đã bị tiêu hủy và để lại một thông điệp: Lần sau, hãy quan tâm đến việc riêng của bạn.

Một số bình luận cho rằng Grap Finance mũ trắng là người chính trực của DeFi và đã trả lại 4350 ETH cho nhóm COVER. Tuy nhiên, qua việc đập phá thị trường, nhiều nhà đầu tư đã thua lỗ, điều này cũng gây ra nhiều tranh cãi.

Đối với các dự án bảo hiểm DeFi, mục đích ban đầu của nó là giảm tổn thất rủi ro cho các dự án DeFi khác. Khi hệ sinh thái DeFi phát triển và giá trị khóa tiếp tục tăng, các dự án DeFi được tin tặc thèm muốn, đặc biệt là các dự án bảo hiểm DeFi mới nổi, cần tăng cường bảo vệ an ninh. Giờ đây, các lỗ hổng của chính nó đã bị tấn công, vẫn còn phải xem liệu một chương trình bảo hiểm như vậy có thể giúp người dùng chống lại rủi ro hay không.

Trong thế giới DeFi, "Code is Law" được ủng hộ và các bên tham gia dự án không chỉ phải phải hoàn hảo và nhanh chóng. Các nhà phát triển giao thức DeFi nên tự kiểm tra mã sau khi một cuộc tấn công xảy ra. PeckShield nhắc nhở bạn rằng nếu không hiểu rõ điều này thì bạn nên tìm một cơ quan kiểm toán chuyên nghiệp để kiểm toán và nghiên cứu.