Poly Network千万美元损失攻击事件分析_POLY:WOR

2023年7月1日,一名攻击者利用Poly Network的漏洞,在多条链上增发了价值420亿美元的资产。尽管发行的资产数量庞大,但因低流动性和部分项目代币冻结,攻击者无法从5个外部账户地址获取超过1000万美元的资产。

这是今年发生的第一起跨链桥攻击事件,也是针对Poly Network发起的第二次攻击。去年攻击事件的总损失金额达37亿美元,其中跨链桥攻击损失占35%。虽然本次事件看似是有史以来涉案金额最大的漏洞攻击事件,但黑客的实际收益要低很多。

2023年7月1日北京时间14:47,一名恶意行为者通过发起数笔跨链桥交易,将资产从Poly Network的Lock Proxy合约转至攻击者的地址。从账面上看,攻击者从10条链上获利超420亿美元价值的资产。

区块链就业平台Opolis筹集660万美元融资,Greenfield领投:金色财经报道,区块链就业平台Opolis已获得一轮660万美元融资。此轮融资由加密货币投资公司Greenfield领投,并获得NEAR基金会、DraperAssociates和PolygonVentures等投资。筹集的资金将用于扩大业务规模并实现更加顺畅的用户体验。功能增强的路线图侧重于改进信息可访问性,特别是会计数据、税务报告详细信息和健康保险信息。

此次融资是在种子轮前和种子轮融资之后进行的,使Opolis的融资总额达到1330万美元,最近一次融资的估值为5000万美元。[2023/7/14 10:54:02]

图片:Poly Network 攻击者钱包地址。来源:Debank

但其实这个数字具有误导性。例如,攻击者在Metis区块链上持有超过340亿美元的Poly-pegged BNB和BUSD,但这些代币因缺乏流动性而无法卖出。后来Metis也在推文中确认,那些新铸造的BNB和BUSD没有可用的流动性,因此毫无价值。

PolkaPet World 已于1月5日登陆虎符创新区:据官方消息,PolkaPet World (PETS)已于2022年1月5日12:00 (UTC+8)登陆虎符创新区。

PolkaPets 专注于推动教育和参与 Polkadot 生态系统,同时为即将到来的项目提供收入和营销机会。每个 PolkaPet NFT 代表 Polkadot 上的一个项目,具有与其项目特征相对应的“特殊动作”。每个 Pet 还充当钥匙或“Amiibo”,用于解锁游戏和其他 DeFi 平台以及未来的 PolkaPet 产品中的功能。[2022/1/5 8:26:41]

同样,大量剩余的代币也变得一文不值。在听说了这一事件和攻击者发行的代币后,几个项目均及时采取了删除流动性的行动,以防止代币倾销和价格崩溃。例如,OpenOcean、StackOS、Revomon和NEST都取消了项目的流动性,以防止攻击者出售。

Panther Protocol将于10月在Polygon推出其MVP:DeFi端到端隐私协议Panther Protocol昨日发推称,Panther将在许多公共智能合约对等链(peerchain)中部署其隐私解决方案。实际上这将为所有DeFi实现可互操作的隐私。Panther Protocol MVP将于10月在Polygon推出,然后在以太坊L1推出。之后将很快在Flare和StackOS推出。[2021/8/8 1:41:58]

Revomon推特

尽管420亿美元的数字并不能准确反映这次事件所造成的损失,但CertiK已证实至少有1000万美元的资产被存放在5个以太坊钱包中。

2022年,影响跨链桥的安全事件导致了13亿美元的经济损失,而这13亿美元仅仅是由五起事件造成的,因此跨链桥安全漏洞的破坏力可见一斑。保护跨链桥难度较高,再加上它们所具有巨大价值和各种可被利用的攻击路径,这些基础设施往往是恶意行为者的首选目标。跨链桥由托管人、发债人、预言机等多种部分组成。由于锁定在桥上的资金数量庞大,任何错误配置、漏洞或恶意利用都可导致重大损失。

Mochi.Market与以太坊扩容方案Polygon达成合作:多链去中心化NFT交易生态系统Mochi.Market与以太坊扩容方案Polygon达成合作,将其NFT平台引入Polygon网络。[2021/4/27 21:04:08]

Poly Network使用“锁定”(Lock)和“解锁”(Unlock)函数在不同网络之间桥接资产。用户必须先在源链上“锁定”代币,然后才能在目标链上进行“解锁”。

以下示例是基于从BSC到ETH的跨链转移。

①攻击者首先在BSC网络上调用Lock函数,以发起少量8PAY代币的跨链转移。

图片:攻击者使用少量的8PAY代币发起跨链转移。来源:Etherscan

PolkaFoundry与区块链数字营销机构Momentum 6达成合作:据官方消息,PolkaFoundry是Polkadot上DeFi应用程序的一站式生产中心,与区块链数字营销机构Momentum 6达成合作,M6将领导PolkaFoundry的营销,孵化和融资策略。[2021/2/28 18:00:36]

在这笔交易中,数据被指定为“0x4a14feea0bdd3d07eb6fe305938878c0cadbfa16904214e0afadad1d93704761c8550f21a53de3468ba599e80300000000000000000000000000”开头“0x4a”四个字节代表数据长度。

②攻击者调用了EthCrossChainManager.verifyHeaderAndExecuteTx()函数,触发了相应的UnlockEvent“解锁”函数。我们可以从开头表示数据长度的4个字节看出,当前的交易数据已发生改变。

“0x14feea0bdd3d07eb6fe305938878c0cadbfa16904214e0afadad1d93704761c8550f21a53de3468ba59900e00fc80b54905e35ca0d000000000000000000000000000000000000000000“

在这笔交易中,8pay代币的数量显著增加。

③攻击者按照上述步骤重复了这一过程。其中涉及57种代币,且分布在11个不同的区块链上。攻击者从中获利约420亿美元的资产(按账面价值计算)。

图片:Poly Network攻击者在以太坊上解锁的代币。来源: Etherscan

在以太坊网络上,攻击者成功将一些代币转换成了ETH。过程如下:

在攻击期间,攻击者还通过一笔交易转移了1592枚ETH(约305万美元),并将2240枚ETH分别转至3个EOA外部账户。此外,攻击者还获取约301万枚USDC和265万枚USDT,分别兑换为1557枚和1371枚ETH。

攻击者将剩余的部分代币资产转移到了新的EOA地址,并向每个地址转移1枚ETH。(尽管他们目前尚未兑出这些代币)。由于项目所有者为防止抛售而从代币中移除流动性,一些代币变得毫无价值。截至目前,攻击者似乎只能从该事件中获得约1000万美元的资金。

图片:Poly Network攻击者将资产和数量为1的ETH转入新的EOA地址

2022年,Web3.0生态系统经历了跨链桥攻击的毁灭性影响,Ronin Bridge、Wormhole、Nomad等项目都遭受了安全事件的影响。Poly Network事件的初期检测结果显示,这是Web生态系统迄今为止遭遇的最大安全事件,但由于新铸造代币缺乏流动性支持,损失在撰写本文时已被控制在大约1000万美元。目前尚无关于攻击者如何利用Poly Network的确切共识。然而初步迹象表明,因链上功能运行正常,很可能是私钥泄露或链下漏洞导致。

CertiK中文社区

企业专栏

阅读更多

金色早8点

Odaily星球日报

金色财经

Block unicorn

DAOrayaki

曼昆区块链法律

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

金智博客

币安币Celestia : OP 堆栈的模块化数据可用性

原文:Javed Khan,celestia blog  编译:GWEI Research(DeFi之道) 简介 自去年发布以来,OP Stack 在汇总开发人员中获得了巨大的吸引力。它被创建新汇总的开发人员和 Caldera 和 Conduit 等模块化基础设施提供商所接受,使开发人员能够快速启动他们自己的rollups。

[0:15ms0-7:939ms