Onyx协议遭受380万美元DeFi黑客攻击，利用已知代码漏洞
周四，Onyx协议，一个去中心化金融（DeFi）平台，同时也是Compound Finance的分叉项目，遭到黑客攻击，损失达380万美元。攻击者利用了协议代码库中的一个已知精度问题，特别是从Compound V2代码继承而来的漏洞。通过操纵近乎空白的交易市场，他们能够人为抬高汇率，并窃取数百万美元的各种加密货币。
PeckShield和Cyvers安全公司检测并报告了可疑交易。最初估计损失为320万美元，后来更新为380万美元。被盗资产包括：
- 410万VUSD
- 735万XCN
- 5000 DAI
- 0.23 WBTC
- 5万USDT
此次攻击与2023年10月在同一协议上发生的另一次攻击相似，当时由于代码中的舍入错误漏洞，损失了210万美元。
涉及方
- Onyx协议：一个允许用户借贷加密货币的DeFi平台。
- 攻击者：利用代码漏洞的未知黑客。
- PeckShield和Cyvers：检测并报告黑客攻击的Web3安全公司。
- Hexagate：提供预防此类攻击建议的安全公司。
发生时间和地点
- 日期：攻击发生在周四（具体日期未提供）。
- 地点：作为DeFi协议，事件发生在Onyx协议运营的区块链网络上。
原因和过程
攻击者利用了分叉自Compound V2代码中的精度问题，特别是针对近乎空白的交易市场来操纵汇率。这一漏洞源于代码中的舍入错误，当市场总供应量接近零时，可以被操纵。通过利用这一缺陷，攻击者能够提取比他们存入的更多资产。
关键要点
- 利用已知漏洞：攻击利用了Compound V2代码中的已知精度问题，突显了分叉代码时继承漏洞的风险。
- 重大财务损失：Onyx协议损失了380万美元，主要损失在VUSD稳定币，强调了DeFi协议的财务风险。
- 重复攻击：这是2023年Onyx协议遭受的第二次重大黑客攻击，表明存在持续的安全问题和预防措施不足。
- 安全审计的重要性：此次事件突显了DeFi项目中进行彻底安全审计和社区监督的必要性。
- DeFi的广泛影响：此次黑客攻击增加了加密行业一系列攻击事件，突显了保护DeFi协议免受已知漏洞攻击的持续挑战。
深入分析
潜在漏洞
Onyx协议的黑客攻击是对DeFi生态系统固有风险的严峻提醒，特别是在协议基于未解决现有漏洞的分叉代码构建时。攻击者利用了一个已知的精度问题——这一漏洞在之前的其他协议（如Hundred Finance和Midas Capital）攻击中已被利用。
Compound V2代码中的精度问题
- 舍入错误：漏洞源于代码中的舍入错误，当市场总供应量接近零时可以被操纵。
- 空白市场：攻击者针对近乎空白的市场来人为抬高汇率，允许他们提取比存入的更多资产。
缺乏社区监督
- 治理参与度低：创建易受攻击的PEPE借贷市场的提案22仅获得11票，主要来自一个地址。
- 忽略安全建议：安全公司建议在启动新市场时铸造和销毁cToken，以确保总供应量永远不会达到零——这一建议似乎被忽视了。
预防和缓解策略
Hexagate安全公司建议采取以下措施：
- 铸造和销毁cToken：在启动新市场时，确保总供应量永远不会达到零，以防止汇率操纵。
- 社区参与：增加社区在治理中的参与度，以增强对新提案的监督和审查。
- 定期安全审计：特别是从其他项目分叉代码时，进行彻底和定期的安全审计。
- 实施多层安全协议：使用多签名钱包和双因素认证来增加安全层。
DeFi行业的广泛影响
Onyx协议的攻击突显了几个关键问题：
- 分叉代码的风险：未解决现有漏洞的分叉代码可能会在多个平台上传播安全缺陷。
- 增强安全措施的必要性：随着DeFi的发展，攻击的复杂性也在增加，需要更强大的安全协议。
- 社区治理的重要性：积极的社区参与对于早期检测和预防潜在漏洞至关重要。
- 开源代码的挑战：虽然开源促进了创新，但也意味着漏洞是透明的，如果未得到充分解决，可能会被利用。
你知道吗？
- 开源风险：虽然开源代码允许快速开发和创新，但如果原始缺陷未修复，它也可能在多个项目中传播漏洞。
- 2023年DeFi黑客攻击：Onyx协议的黑客攻击增加了2023年DeFi黑客攻击的名单，攻击者利用智能合约中的漏洞窃取数百万美元。
- cToken的重要性：cToken是Compound协议中使用的生息代币。正确处理cToken对于防止Onyx黑客攻击中的漏洞至关重要。
- 社区治理：DeFi协议通常依赖社区治理进行决策。低参与度可能导致未经检查的提案引入安全风险。
- 安全公司的角色：像PeckShield和Cyvers这样的公司通过检测和报告可疑活动，帮助减轻黑客攻击的影响。
Onyx协议的380万美元损失是对快速发展的DeFi领域中增强安全协议和社区监督的迫切需求的严峻提醒。随着行业的不断成熟，优先考虑安全和稳健的治理将是保护资产和维护用户信任的关键。