短短两三个月时间,DeFi就从小风口迅速成长为加密世界的基础设施。
DeFi在野蛮生长的同时,也暴露出了存在的问题——合约安全。
作为去中心化金融,它的安全性完全依赖于智能合约。
所以DeFi在刚爆发时,无数项目在FOMO情绪下大干快上,因此也就暴露出了合约安全问题。
据PeckShield统计,自6月份Compound开启流动性挖矿以来,DeFi领域因为合约安全问题至少造成400万美元的损失。
有意而为之的比如上线13小时就转走超120万美元的EMD。
当然更多还是无意间导致的,比如前两天发生的Soda,400多个ETH被恶意清算。
DeFi借贷协议Goldfinch平台在贷余额突破1亿美元:5月6日消息,据区块链数据平台Token Terminal显示,DeFi借贷协议GoldFinch平台在贷余额突破1亿美元。[2022/5/6 2:55:01]
不过目前合约已修复,并且团队赔偿了用户所有损失。
链茶馆以Soda为例,复盘合约漏洞从被发现到修复到赔付的惊魂48小时,希望能让DeFi参与者引以为戒,规避本不该发生却偏偏很常见的风险。
Soda苏打水——出道即巅峰
Soda是一个抵押借贷平台,9月15日在以太坊上创建,9月20日正式开挖头矿。
Soda开盘不到6个小时,就暴涨到了500美元,锁仓金额更是超过8000万美元。
很多由大机构背书的DeFi项目,其实也没有取得过这样的成绩,更何况这是由一支匿名团队开发出来的。
Terra链上DeFi锁仓量超270亿美元:金色财经报道,据DefiLlama数据显示,当前Terra链上DeFi锁仓量为272.9亿美元,近24小时增涨0.26%。在公链中排名第2位仅次于以太坊。
目前,Terra链上DeFi锁仓量排名前5的分别为:Anchor(144.1亿美元)、Lido(79.8亿美元)、Astroport(13亿美元)、Stader(7.98亿美元)、Terraswap(6.95亿美元)。[2022/3/24 14:14:21]
因为Soda的挖矿规则真的很有吸引力——双币制。
具体来说就是,用户可以用WETH挖矿SODA,然后抵押自己正在挖矿中的WETH,借出平台发行的合成资产SoETH,然后把SoETH换成更多的WETH,去挖更多的SODA。
简单来说就是……可以把本金放大3.5倍。
DeFi保险协议Cover V2已上线以太坊主网:5月12日,DeFi保险协议Cover V2发推宣布,已上线以太坊主网,但目前只部署了一个保险池,随着Gas价格变得更加合理,其将继续部署更多的保险池。此外,Cover V2已部分上线BSC主网,并在BSC上部署了一个资金池,用户可以开始铸造covTokens。但是,由于0x协议不支持订单簿,所以目前BSC上不支持covTokens的订单簿交易。目前,Cover团队一直在与该团队联系,但完全上线BSC的时间还未确定。[2021/5/12 21:51:44]
所以Soda刚出道就站到C位,但万万没想到这就是巅峰了,因为很快就被发现了合约漏洞。
吹哨人预警代码漏洞
9月20日下午5点,一个叫废X废的微博用户发出了关于Soda.finance协议的风险提示。
Zaki Manian的新DeFi项目已筹集350万美元:金色财经报道,Cosmos区块链背后的首席开发人员Zaki Manian周三宣布启动新项目Sommelier。该DeFi项目已在种子轮中筹集了350万美元,旨在改善去中心化交易所(DEX)的交易体验。据悉,该项目着重于启用一种在华尔街常见但尚未进入DeFi世界的订单类型,即止损订单。[2021/3/10 18:33:43]
“不要抵押WETH借SoETH,合约有漏洞,其他人可以随便清算你的借款单。”
废X废第一时间发现了漏洞,并告知Soda官方,而他本人却并没有利用漏洞来攻击获利。
因为Soda官方没有第一时间回应,所以废X废选择将风险预警公之于众。
币赢CoinW已在DeFi专区上线KP3R:据官方消息,币赢CoinW已于10月29日16:30在DeFi专区上线KP3R。
据悉,Keep3r 是一个去中心化的守护者网络,Keep3r 守护者网络包括守护者(Keeper)和工作(Job)两个角色。 目前Keep3r 已发布第一个 Job 合约 UniswapV2Oracle,它的工作任务是收集 Uniswap 交易对的滑动平均价格,Keeper 完成工作后可获得 KP3R 代币奖励。[2020/10/29]
据链茶馆了解,Soda官方是在Soda的discord群里获知消息的,因为有用户把上述微博截图转到了群里。
但当时用户群里普遍认为是因为项目火爆而被人黑而已,所以也就没在意。
但在1个小时后,Soda官方确认了Bug的存在,引起了恐慌性的资金出逃。
当时WETH池中抵押资产超过1000万美元,借出的SoETH也接近700万美元。
也就是说,理论上黑客可以通过发起清算,以危害超过1000万美元的资产来获利几百万美元。
所以在接下来的几个小时里,SODA的币价从400美元跌到了50美元,锁仓资金也大量出逃,直接腰斩。
惊魂时刻——黑客与巨鲸的博弈
尽管Soda官方在当晚凌晨4点就发布了补丁,并部署了新的智能合约,可用户们依然没办法松一口气。
因为智能合约有时间锁,这意味着补丁生效还需要至少48小时。
所以在这48小时内,随时都会有黑客利用漏洞来获利。
实际上当晚已经至少6名黑客尝试了通过攻击获利。
而与此同时,也有人艺高人胆大,不仅没有撤退,反而加仓了。
所以当时依旧有一两千枚SoETH在流通。
比如有位巨鲸当晚直接一次性借出约861枚SoETH,这意味着他至少还要抵押1230枚WETH,而这1230枚WETH随时都可能被黑客清算。
这位巨鲸的火中取栗自然也会带来高回报——未来两天SoETH-ETH-UNI-V2-LP池子中的一半以上的收益。
那么黑客与巨鲸之间的较量,谁会获胜呢?
48小时后——偏逢连夜雨
经过漫长的48小时的等待,补丁终于生效了。
黑客与巨鲸之间的较量,也终于尘埃落定了。
根据Soda官方统计数据,本次合约漏洞受损用户共14位,被清算的WETH总量为448个,实际受损为134.5WETH?(因为用户借出了的70%的SoETH不再需要偿还,而SoETH的币价略高于WETH)。
Soda官方也提出了补偿方案:以SoETH赔付用户损失掉的WETH,也就是被清算总量的30%。
据链茶馆了解,截止发稿已有大部分用户接受了上述赔付方案。
所以事情本应尘埃落定,可Soda经此重创,SODA的币价从当初的300美元跌到了7美元,缩水近50倍。
更糟糕的是屋漏偏逢连夜雨,Soda又遭遇了“机池”的阻击。
YFV在Soda的Bug还没修好的时候,就已经开通了SODA的机池,并且注入了几百万美元的资金。这意味着Soda的池子里的收益,很容易被机池无情地挖提卖。
讽刺的是,YFV抄走了部分SODA的代码,并且命名为DrinkSODA。
Soda官方的应对措施是提高SODA-ETH-UNI-V2-LP池的挖矿倍数——从5倍升高至20倍,并承诺初期的10万枚挖完后将开启社区投票,决定剩余的90万枚SODA币的发布方案。
Soda的合约安全问题算是告一段落了,那么能否凭借此前的优势重回巅峰呢?
对于DeFi用户和项目方来说,最大的教训是——一定要审计合约。
审计也许不是万能的,但毕竟能规避一些本不该却偏偏很常见的风险。
郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。