Inverse Finance被盗1450万美元事件分析

CertikPublié le 2022-04-03Dernière mise à jour le 2022-04-03

Résumé

该事件发生的根本原因在于外部价格预言机依赖导致价格被操纵，因此攻击者可通过操纵价格来借用资产。

北京时间2022年4月2日19时，CertiK安全技术团队监测到Inverse Finance被恶意利用，导致价值约1450万美元的资产受到损失。
该事件发生的根本原因在于外部价格预言机依赖导致价格被操纵，因此攻击者可通过操纵价格来借用资产。
攻击流程
在发起攻击之前，攻击者做了如下准备: 
1. 首先，攻击者部署了一个恶意合约。该合约地址为：0xea0c959bbb7476ddd6cd4204bdee82b790aa1562
2. 其次，攻击者在SushiSwap/Curve.fi中进行调换，以操纵交易中的价格，该交易地址为：0x20a6dcff06a791a7f8be9f423053ce8caee3f9eecc31df32445fc98d4ccd8365
由于SushiSwap:INV（INV-ETH Pair）的流动性非常低，用300ETH（价值约一百多万美元）换取INV将大幅增加INV价格。
随后，攻击者正式发起攻击:
1. 攻击者把在准备阶段获得的INV存入，并铸造（mint）了1746枚XINV代币。
2. XINV的价格计算：根据SushiSwap:INV对中的INV价格所计算。如上所述，INV的价格被操纵，因此每XINV的价值为20926美元。
3. 随着XINV的价格被修改，攻击者能够用铸造的XINV代币借用到如下资产：1588枚ETH，94枚WBTC，3999669枚DOLA与39枚YFI。
合约漏洞分析
该漏洞主要原因是对价格预言机具有依赖性，并且这中间有30分钟的窗口期。而攻击在准备阶段完成后正式发生，仅仅用了15秒。

预言机

在这种情况下，因为timeElapsed == 15，预言机合约Keep3rV2Oracle的函数_update()中'timeElapsed > periodSize'的检查将被绕过。这意味着最后的累积价格还没有被更新。由此可见，函数_computeAmountOut()中的amoutOut会比预期的数额大，因为priceCumulative已经被操纵了，但_observation.priceCumulative没有被更新。

预言机

一方面，XINV的价格依赖于SushiSwap:INV 对（INV-ETH对）的储备，其流动性非常低。
另一方面，TWAP可以防止闪电贷攻击。理论上，攻击者能够通过 "牺牲 "一些钱来操纵价格，也就是说，用他自己的钱来改变价格。在这个特殊的价格预言机设计中，如果经过的时间没有超过30分钟，当前的价格（来自储备金）不应该被用来计算出金金额。
资产追踪
据CertiK SkyTrace显示，价值约1450万美元的资产被盗后已被转移到Tornado Cash。

预言机

其他细节
利用漏洞进行交易的准备期间: 
https://etherscan.io/tx/0x20a6dcff06a791a7f8be9f423053ce8caee3f9eecc31df32445fc98d4ccd8365
利用漏洞进行交易发起攻击: 
https://etherscan.io/tx/0x600373f6752132https://etherscan.io/tx/0x600373f67521324c8068cfd025f121a0843d57ec813411661b07edc5ff781842
攻击者地址1:https://etherscan.io/address/0x117c0391b3483e32aa665b5ecb2cc539669ea7e9
攻击者地址2: https://etherscan.io/address/0x8b4c1083cd6aef062298e1fa900df9832c8351b3
攻击合约: 
https://etherscan.io/address/0xea0c959bbb7476ddd6cd4204bdee82b790aa1562
预言机合约: 
https://etherscan.io/address/0x39b1df026010b5aea781f90542ee19e900f2db15#code
SushiSwap INV-ETH Pair: 
https://etherscan.io/address/0x328dfd0139e26cb0fef7b0742b49b0fe4325f821
XINV 合约地址: https://etherscan.io/address/0x1637e4e9941d55703a7a5e7807d6ada3f7dcd61b#code
Keep3rV2 预言机合约地址: 
https://etherscan.io/address/0x39b1df026010b5aea781f90542ee19e900f2db15#code
​写在最后
现如今，很多项目都会用到预言机，部分项目还会对其具有很强的依赖性。安全审计，会审查预言机的设计合理性、价格算法以及经济模型等。
因此，CertiK的安全专家建议：尽量避免使用流动性低的池子作为价格预言机价格来源，同时对项目进行安全审计从而保证预言机模型的正确性。

Lectures associées

Peskov déclare que la Russie figure parmi les cinq leaders de la course à l'IA. Que disent les classements mondiaux ?

Dmitri Peskov, porte-parole du Kremlin, a déclaré le 27 juillet 2026 que la Russie reste dans le top cinq des pays participant à la course au développement de l'intelligence artificielle. Il a reconnu que les modèles russes, comme GigaChat et Yandex, ne peuvent pas encore rivaliser avec les leaders américains, mais qu'ils ont atteint un "niveau très élevé", nécessitant des "efforts inhumains" pour combler l'écart. Les classements internationaux contredisent cette affirmation. Le Global AI Vibrancy Tool de l'Université de Stanford place la Russie au 28e rang sur 36 pays. Le rapport Stanford AI Index 2026, qui ne fournit pas de classement unique, montre la domination des États-Unis et de la Chine dans des domaines comme les investissements, les publications et les performances des modèles, sans mentionner la position russe. Sur la version russophone de LM Arena, le meilleur modèle national, GigaChat, n'arrive qu'en 25e position. Malgré cela, la Russie renforce son cadre légal. Un loi signée le 26 juillet 2026 définit les concepts de modèles d'IA "souverains" et "nationaux", donnant aux développeurs accès aux données publiques. Le pays a également rejoint 28 autres États, dont la Chine, pour fonder l'Organisation mondiale de coopération en IA (WAICO) à Shanghai. Les analystes expliquent l'écart entre les déclarations et les classements par leurs critères d'évaluation différents (recherche, investissements, régulation, infrastructure). Un défi majeur persiste pour la Russie : convertir son potentiel énergétique et juridique en puissance de calcul réelle, essentielle à l'entraînement des modèles, face à des contraintes technologiques et des sanctions limitant l'accès aux processeurs graphiques (GPU) de pointe.

cryptonews.ruIl y a 3 mins

Peskov déclare que la Russie figure parmi les cinq leaders de la course à l'IA. Que disent les classements mondiaux ?

cryptonews.ruIl y a 3 mins

Aux États-Unis, un appel à réguler les marchés de prédiction sportive

La Ligue nationale de football (NFL) a exhorté la Commodity Futures Trading Commission (CFTC) américaine à durcir la réglementation des marchés de prédiction sur les événements sportifs. Dans une lettre de juillet, la NFL a souligné que l'intégrité des compétitions était sa priorité absolue et a estimé que les règles proposées par le régulateur étaient insuffisantes. La ligue a demandé des restrictions sur les contrats portant sur des événements pouvant être manipulés par un individu ou un petit groupe, comme le succès d'un coup de pied au but ou la précision d'une première passe. Elle a également critiqué les éventuelles exemptions pour les marchés liés aux votes ou aux récompenses, craignant qu'elles ne permettent de contourner les restrictions. La NFL a en outre plaidé pour l'interdiction explicite du trading basé sur des informations non publiques et pour l'établissement de listes obligatoires de personnes interdites de trading sur certains événements. Elle a réitéré ses demandes d'interdiction du trading sur marge, de restrictions publicitaires et d'un âge minimum de 21 ans. Ce débat s'inscrit dans un conflit juridique plus large entre la CFTC, qui affirme avoir une juridiction exclusive sur ces marchés qu'elle considère comme des swaps, et plusieurs États américains qui les assimilent à des paris sportifs non autorisés. Des plateformes comme Kalshi et Polymarket sont au cœur de ce litige, certaines ayant vu leur activité temporairement protégée par les tribunaux fédéraux. Malgré ces incertitudes réglementaires, le secteur connaît une croissance rapide, avec des volumes d'échanges record en juin, largement dominés par les contrats sportifs.

cryptonews.ruIl y a 3 mins

Aux États-Unis, un appel à réguler les marchés de prédiction sportive

cryptonews.ruIl y a 3 mins

Il ne reste que le dernier coup de pied, le Clarity Act est-il finalement bloqué ?

L'« American Clarity Act », projet de loi structurant le marché des actifs numériques, est dans une phase critique à quelques jours de la pause estivale du Congrès américain. Malgré un compromis apparent de la Maison Blanche incluant une clause d'éthique pour limiter les transactions d'actifs numériques par les hauts fonctionnaires, de profondes divergences persistent. Le principal blocage réside dans les détails de cette clause. Les démocrates, dont la sénatrice Elizabeth Warren et un groupe de sept négociateurs, jugent la version actuelle insuffisante. Ils critiquent le fait que le pouvoir d'application soit confié uniquement au ministère de la Justice (DOJ), qu'ils estiment manquer d'indépendance, d'autant plus que son ministre par intérim est un ancien avocat de Donald Trump. Ils s'opposent également à la disposition prévoyant l'expiration automatique de la clause en 2029, qui coïncide avec la fin du mandat potentiel de Trump, la privant ainsi de portée rétroactive. Enfin, ils craignent que les restrictions ne couvrent pas suffisamment les activités indirectes des proches des élus. Face à ces critiques, les républicains n'ont pour l'instant pas montré de volonté de concessions supplémentaires. Le calendrier législatif, déjà serré, est une autre contrainte majeure. Le Sénat ayant reporté le texte pour prioriser d'autres dossiers et devant observer des jours de deuil, la fenêtre pour un vote avant la pause estivale se réduit. Le projet devra en outre rivaliser avec d'autres lois controversées pour obtenir du temps de débat. En conséquence, les observateurs, comme le responsable de la recherche de Galaxy Alex Thorn, ont considérablement revu à la baisse leurs prévisions de passage de la loi en 2026, la probabilité étant désormais estimée à seulement 30%. Le secteur de la cryptomonnaie attend de voir si ce « dernier yard » législatif sera franchi dans les prochains jours ou reporté à un avenir incertain.

marsbitIl y a 17 mins

Il ne reste que le dernier coup de pied, le Clarity Act est-il finalement bloqué ?

marsbitIl y a 17 mins

Il ne manque que le tir au but final : sur quoi bute la loi Clarity ?

À quelques jours de la pause estivale du Congrès américain, l'adoption du "Digital Asset Market Structure Act" (Clarity Act) au Sénat semble incertaine. Bien que la Maison Blanche ait ajouté des clauses éthiques limitant les transactions sur actifs numériques des hauts fonctionnaires, les divergences persistent. Le principal blocage concerne le détail de ces clauses. Les démocrates critiquent le projet actuel, estimant que le pouvoir d'exécution confié au ministère de la Justice (DOJ) manque d'indépendance, notamment parce que son procureur par intérim est un ancien avocat de Donald Trump. Ils s'opposent aussi à la clause d'expiration automatique en 2029, qui coïncide avec la fin du mandat potentiel de Trump, la jugeant insuffisante pour établir un cadre pérenne. La portée des restrictions, qui n'aborde pas suffisamment les investissements indirects par des proches, est également contestée. Plusieurs sénateurs démocrates ont déclaré que le texte n'était pas satisfaisant, tandis que les républicains semblent peu enclins à de nouvelles concessions. Le temps manque : le Sénat doit traiter d'autres dossiers urgents et son calendrier est réduit. Des observateurs estiment désormais que la probabilité d'une adoption en 2026 est faible. L'industrie crypto suit de près ce bras de fer législatif. Alors que le cadre réglementaire est à portée, son adoption immédiate ou son report reste en suspens, la décision intervenant dans les prochains jours.

Odaily星球日报Il y a 21 mins

Il ne manque que le tir au but final : sur quoi bute la loi Clarity ?

Odaily星球日报Il y a 21 mins

Du sable à la puce, l'alchimie des semi-conducteurs de Hefei

Le 27 juillet 2026, l'entrée en bourse de Changxin Memory Technologies (CXMT) à Shanghai, avec une capitalisation de 3 280 milliards de yuans, a marqué l'histoire financière chinoise. Cette société de fabrication de puces mémoire DRAM, basée à Hefei, a ainsi dépassé la valeur de la Banque industrielle et commerciale de Chine (ICBC). Cette réussite est le fruit du "Projet 506", lancé en 2016 grâce à un partenariat entre Jmicron et l'investisseur public de Hefei. Malgré des pertes initiales importantes (163,4 milliards de yuans en 2023), CXMT a réalisé une percée technologique majeure en produisant la première puce DRAM domestique chinoise en 2019. Profitant de la demande alimentée par l'IA, la société est devenue rentable en 2025, atteignant 8% de parts de marché mondial en DRAM au premier trimestre 2026. Le succès de CXMT a catalysé tout un écosystème à Hefei. Plus de 400 entreprises de la chaîne d'approvisionnement en semi-conducteurs se sont implantées à proximité, fournissant équipements, matériaux et services de test. Cet essor industriel s'inscrit dans la stratégie de développement de Hefei, résumée par "écran, puce, voiture", après avoir successivement soutenu BOE (écrans) et Nio (véhicules électriques). Cette transformation a propulsé Hefei, autrefois surnommée le "plus grand comté de Chine", au rang de ville "à double trillion" (PIB et population). Offrant un coût de la vie inférieur et de bonnes perspectives d'emploi, notamment pour les diplômés, Hefei illustre une réussite basée sur un engagement industriel à long terme.

marsbitIl y a 28 mins

Du sable à la puce, l'alchimie des semi-conducteurs de Hefei

marsbitIl y a 28 mins

Trading

Spot
活动图片

Catégories populairesright-arrow

Tags tendancesright-arrow