Inverse Finance被盗1450万美元事件分析

CertikPublicado a 2022-04-03Actualizado a 2022-04-03

Resumen

该事件发生的根本原因在于外部价格预言机依赖导致价格被操纵，因此攻击者可通过操纵价格来借用资产。

北京时间2022年4月2日19时，CertiK安全技术团队监测到Inverse Finance被恶意利用，导致价值约1450万美元的资产受到损失。
该事件发生的根本原因在于外部价格预言机依赖导致价格被操纵，因此攻击者可通过操纵价格来借用资产。
攻击流程
在发起攻击之前，攻击者做了如下准备: 
1. 首先，攻击者部署了一个恶意合约。该合约地址为：0xea0c959bbb7476ddd6cd4204bdee82b790aa1562
2. 其次，攻击者在SushiSwap/Curve.fi中进行调换，以操纵交易中的价格，该交易地址为：0x20a6dcff06a791a7f8be9f423053ce8caee3f9eecc31df32445fc98d4ccd8365
由于SushiSwap:INV（INV-ETH Pair）的流动性非常低，用300ETH（价值约一百多万美元）换取INV将大幅增加INV价格。
随后，攻击者正式发起攻击:
1. 攻击者把在准备阶段获得的INV存入，并铸造（mint）了1746枚XINV代币。
2. XINV的价格计算：根据SushiSwap:INV对中的INV价格所计算。如上所述，INV的价格被操纵，因此每XINV的价值为20926美元。
3. 随着XINV的价格被修改，攻击者能够用铸造的XINV代币借用到如下资产：1588枚ETH，94枚WBTC，3999669枚DOLA与39枚YFI。
合约漏洞分析
该漏洞主要原因是对价格预言机具有依赖性，并且这中间有30分钟的窗口期。而攻击在准备阶段完成后正式发生，仅仅用了15秒。

预言机

在这种情况下，因为timeElapsed == 15，预言机合约Keep3rV2Oracle的函数_update()中'timeElapsed > periodSize'的检查将被绕过。这意味着最后的累积价格还没有被更新。由此可见，函数_computeAmountOut()中的amoutOut会比预期的数额大，因为priceCumulative已经被操纵了，但_observation.priceCumulative没有被更新。

预言机

一方面，XINV的价格依赖于SushiSwap:INV 对（INV-ETH对）的储备，其流动性非常低。
另一方面，TWAP可以防止闪电贷攻击。理论上，攻击者能够通过 "牺牲 "一些钱来操纵价格，也就是说，用他自己的钱来改变价格。在这个特殊的价格预言机设计中，如果经过的时间没有超过30分钟，当前的价格（来自储备金）不应该被用来计算出金金额。
资产追踪
据CertiK SkyTrace显示，价值约1450万美元的资产被盗后已被转移到Tornado Cash。

预言机

其他细节
利用漏洞进行交易的准备期间: 
https://etherscan.io/tx/0x20a6dcff06a791a7f8be9f423053ce8caee3f9eecc31df32445fc98d4ccd8365
利用漏洞进行交易发起攻击: 
https://etherscan.io/tx/0x600373f6752132https://etherscan.io/tx/0x600373f67521324c8068cfd025f121a0843d57ec813411661b07edc5ff781842
攻击者地址1:https://etherscan.io/address/0x117c0391b3483e32aa665b5ecb2cc539669ea7e9
攻击者地址2: https://etherscan.io/address/0x8b4c1083cd6aef062298e1fa900df9832c8351b3
攻击合约: 
https://etherscan.io/address/0xea0c959bbb7476ddd6cd4204bdee82b790aa1562
预言机合约: 
https://etherscan.io/address/0x39b1df026010b5aea781f90542ee19e900f2db15#code
SushiSwap INV-ETH Pair: 
https://etherscan.io/address/0x328dfd0139e26cb0fef7b0742b49b0fe4325f821
XINV 合约地址: https://etherscan.io/address/0x1637e4e9941d55703a7a5e7807d6ada3f7dcd61b#code
Keep3rV2 预言机合约地址: 
https://etherscan.io/address/0x39b1df026010b5aea781f90542ee19e900f2db15#code
​写在最后
现如今，很多项目都会用到预言机，部分项目还会对其具有很强的依赖性。安全审计，会审查预言机的设计合理性、价格算法以及经济模型等。
因此，CertiK的安全专家建议：尽量避免使用流动性低的池子作为价格预言机价格来源，同时对项目进行安全审计从而保证预言机模型的正确性。

Lecturas Relacionadas

Tras dos años de validación independiente consecutiva, Matrixdock convierte la transparencia de reservas en una infraestructura financiera en cadena

Durante dos años consecutivos, Matrixdock (plataforma de tokenización de RWA del grupo BIT) ha realizado auditorías independientes semestrales de sus reservas, llevadas a cabo por Bureau Veritas. En la cuarta verificación, se incluyó por primera vez su producto de plata tokenizada (XAGm), auditándose 574 lingotes de oro y plata almacenados en tres cámaras acorazadas institucionales en Singapur y Hong Kong. Esto refleja una evolución en el sector: la transparencia de las reservas ya no es solo una verificación puntual al emitir activos, sino un mecanismo continuo que construye confianza para su uso en escenarios financieros on-chain (préstamos, pagos, gestión de fondos). Matrixdock combina estas auditorías periódicas con informes mensuales, pruebas de reservas on-chain y un sistema de consulta de asignación, denominado "Reserve Transparency Stack". A medida que los activos del mundo real se integran más en la DeFi, la capacidad de demostrar y mantener de forma sostenible la existencia y trazabilidad de las reservas subyacentes se está convirtiendo en una infraestructura crítica de confianza para el ecosistema financiero descentralizado.

marsbitHace 4 min(s)

Tras dos años de validación independiente consecutiva, Matrixdock convierte la transparencia de reservas en una infraestructura financiera en cadena

marsbitHace 4 min(s)

¿La calma antes del impulso? Los expertos hablan de la cautela del mercado y las compras activas de las ballenas

Las plataformas analíticas Glassnode y Santiment han publicado informes sobre el estado actual del mercado de criptomonedas. Los expertos señalan una consolidación cautelosa con señales positivas en la cadena de bloques, mientras que la actividad institucional y en los mercados de derivados se mantiene contenida. En cuanto a los derivados y los ETF, los analistas indican cautela. Tras alcanzar un máximo local cerca de los $66,700, Bitcoin retrocedió a $64,000 y luego se recuperó parcialmente, manteniéndose dentro de un rango de precios establecido. El interés abierto en derivados aumentó ligeramente, pero las tasas de financiación para posiciones largas disminuyeron significativamente, lo que sugiere un uso más prudente del apalancamiento. Además, los productos de inversión regulados experimentaron una salida neta de fondos y los volúmenes de negociación semanales se contrajeron. Por otro lado, los datos de Santiment muestran que las ballenas (grandes inversores) continúan acumulando Bitcoin. En los últimos ocho días, las billeteras que contienen entre 10 y 10,000 BTC han aumentado sus reservas en 19,696 BTC. Al mismo tiempo, la actividad de los pequeños inversores minoristas (con menos de 0,01 BTC) ha disminuido. Los analistas consideran positiva esta combinación, ya que indica que las monedas están pasando a manos de actores más fuertes y comprometidos a largo plazo. Un analista de CryptoQuant también destacó que 374,000 BTC han pasado de manos de propietarios a corto plazo a propietarios a largo plazo, reduciendo así la oferta líquida inmediata en el mercado. En resumen, el mercado atraviesa una fase de transición tranquila, respaldada por una tenencia estable de monedas por parte de los inversores, pero frenada por la actividad cautelosa en los mercados spot, de derivados e institucional, mientras las balleras aprovechan para acumular.

cryptonews.ruHace 15 min(s)

¿La calma antes del impulso? Los expertos hablan de la cautela del mercado y las compras activas de las ballenas

cryptonews.ruHace 15 min(s)

Peskov afirma que Rusia está entre los cinco líderes de la carrera de la IA. ¿Qué dicen las clasificaciones mundiales?

Peskov afirma que Rusia está entre los cinco líderes de la carrera de IA. ¿Qué dicen los rankings mundiales? El portavoz presidencial ruso, Dmitri Peskov, declaró el 27 de julio de 2026 que Rusia sigue estando entre las cinco principales naciones en la carrera por el desarrollo de la inteligencia artificial. Reconoció que los desarrollos rusos aún no igualan a los principales modelos lingüísticos estadounidenses, pero afirmó que han alcanzado un "nivel muy alto" y que planean reducir la brecha con "esfuerzos sobrehumanos". Sin embargo, los rankings internacionales no respaldan esta afirmación. El *Global AI Vibrancy Tool* de la Universidad de Stanford sitúa a Rusia en el puesto 28 entre 36 países. Los cinco primeros son EE.UU., China, India, Corea del Sur y Reino Unido. El *Stanford AI Index Report 2026*, que no elabora un ranking unificado, tampoco menciona a Rusia entre los líderes en áreas clave como desarrollo de modelos, inversión o publicaciones, dominadas por EE.UU. y China. A nivel interno, el mejor modelo ruso, GigaChat, ocupa el puesto 25 en la versión rusa de LM Arena. Aunque aprobó un examen profesional de analista financiero en 2025, su coste para negocios es mucho mayor que el de alternativas como el chino DeepSeek. Rusia está impulsando marcos legales e internacionales para la IA. El presidente Putin firmó una ley que define modelos "soberanos" y otorga acceso a datos estatales. Además, Rusia se unió a otros 28 países para fundar la Organización Mundial de Cooperación en IA (WAICO) en Shanghái. Los analistas señalan que las discrepancias en los rankings se deben a diferentes criterios de evaluación, como investigación, inversión, infraestructura o regulación ética. Aunque Rusia avanza en el marco normativo y la cooperación, persisten desafíos clave, como la dependencia de hardware extranjero y la conversión de su infraestructura informática para satisfacer las demandas de la IA.

cryptonews.ruHace 24 min(s)

Peskov afirma que Rusia está entre los cinco líderes de la carrera de la IA. ¿Qué dicen las clasificaciones mundiales?

cryptonews.ruHace 24 min(s)

En EE.UU. piden limitar los mercados de predicciones deportivas

La Liga Nacional de Fútbol (NFL) ha pedido a la Comisión de Comercio de Futuros de Mercancías de EE.UU. (CFTC) que endurezca las normas para los mercados de predicción de eventos deportivos, argumentando que las reglas propuestas no protegen suficientemente la integridad de las competiciones. La NFL solicitó restricciones en contratos sobre eventos que puedan ser manipulados por una persona o un pequeño grupo, como una patada fallada o un pase inexacto. También criticó posibles excepciones para mercados de premios y votaciones, que podrían eludir restricciones, y pidió a la CFTC que prohíba explícitamente operar con información confidencial no pública. Otras propuestas incluyen listas obligatorias de personas prohibidas para operar en eventos específicos, la prohibición del trading con margen, límites publicitarios y una edad mínima de 21 años. Mientras tanto, continúa la disputa entre la CFTC, que afirma tener jurisdicción exclusiva sobre estos contratos al considerarlos swaps, y varios estados que los ven como apuestas ilegales. Recientemente, un tribunal federal prohibió temporalmente a Minnesota aplicar una nueva ley contra plataformas registradas en la CFTC, como Kalshi y Polymarket US. A pesar de las disputas regulatorias, estas plataformas han registrado volúmenes récord, superando a las casas de apuestas tradicionales durante eventos como la Copa del Mundo. Varios estados, como Kentucky, han presentado demandas contra ellas por operar supuestamente apuestas deportivas sin licencia.

cryptonews.ruHace 24 min(s)

En EE.UU. piden limitar los mercados de predicciones deportivas

cryptonews.ruHace 24 min(s)

A un paso de la meta: ¿Dónde se atasca realmente la Ley de Claridad?

**Falta un último paso: ¿Dónde se ha atascado definitivamente la Ley Clarity?** A solo unos días del receso estival del Congreso de EE.UU., la aprobación de la "Ley de Estructura del Mercado de Activos Digitales" (Ley Clarity) por el Senado pende de un hilo. Tras un compromiso inicial de la Casa Blanca para incluir una cláusula de ética que limite las operaciones con criptoactivos de altos funcionarios, las negociaciones se han estancado en los detalles finales. La principal disputa reside precisamente en esa cláusula anticorrupción. Los demócratas consideran que la versión actual es insuficiente. Critican que la autoridad para hacerla cumplir recaiga solo en el Departamento de Justicia (dirigido por un exabogado personal de Trump), en lugar de en fiscales independientes. Además, se oponen a que la norma expire automáticamente en 2029 (fin del posible mandato de Trump), pues creen que debe ser permanente. También cuestionan que las restricciones no cubran suficientemente a familiares de los políticos, un punto relevante dado el involucramiento de los hijos de Trump en la industria. Siete senadores demócratas clave han declarado que el texto actual "no cumple con las expectativas". Por su parte, los republicanos muestran poca disposición a ceder más, argumentando que el presidente ya hizo una concesión histórica. El tiempo se agota. Con la agenda del Senado copada por otras leyes polémicas y procedimientos formales que consumen días, la ventana para votar la Ley Clarity antes del receso es muy estrecha. Los analistas han reducido drásticamente sus probabilidades de aprobación para este año. Para la industria cripto, el marco regulatorio tan esperado sigue estando a un paso, pero ese paso final podría no darse a tiempo.

marsbitHace 38 min(s)

A un paso de la meta: ¿Dónde se atasca realmente la Ley de Claridad?

marsbitHace 38 min(s)

Trading

Spot
活动图片

Categorías popularesright-arrow

Etiquetas Popularesright-arrow