编者按：本文来自巴比特资讯，作者：rekt，编译：洒脱喜，星球日报经授权发布。注：本周六，DeFi协议PickleFinance因其Jar策略中存在的漏洞，而被黑客盗走了2000万美元，此后，由Rekt、StakeCapital团队成员、samczsun等白帽黑客组成的临时小队对Pickle协议内剩余易受攻击的5000万美元用户资金进行了抢救，作者Rekt对这次事件进行了总结。
金融的发酵还在继续，即使是酸黄瓜也有保质期。PickleFinance因为一个假“Picklejar”漏洞而被黑客盗走了1970万DAI。PickleFinance已成为了这次黑客大流行病的最新受害者。然而，这一次，有一些不同...当Twitter上的人们试图接受另一次金融灾难时，Rekt开始了调查。我们联系了StakeCapital团队，他们查看了代码并警告我们其他Picklejar可能面临风险。随后，我们迅速联系了PickleFinance团队，并在SketchCapital成员以及有经验的开发者@samczsun，@emilianobonassi之间建立了一个作战室。在我们进行调查后，很明显，我们看到的是与最近几周的DeFi乐高风格黑客事件非常不同的东西。这不是一次套利。攻击者对Solidity和EVM有着很好的了解，并且可能已经密切关注了一段时间的Yearn代码，因为这个漏洞与一个月前在Yearn中发现的漏洞类似。从本质上说，PickleJar就是YearnyVaults的分叉，这些Jar是由一个名为theController的合约控制的，该合约具有允许用户在Jar之间交换资产的功能。不幸的是，Pickle并没有设置白名单允许哪个Jar使用这个交换功能。黑客制造了一个假的PickleJar，并交换了原Jar中的资金。这是有可能的，因为swapExactJarForJar没有检查“白名单”jar。PickleFinance团队知道他们需要帮助，并非常愿意与其他人合作，以防任何进一步的损害。Pickle曾试图调用“withdrawAll”函数，但这笔交易失败了。这个取款请求需要通过治理DAO，而这存在12个小时的时间锁。只有一个Pickle多重签名组的成员有能力绕过这个时间锁，而当时他们正在睡觉。这意味着管理者无法清空PickleJar，但这并不能保护他们免受另一次黑客攻击。随后，PickleFinance和Curve发出警告，要求用户立即从Pickle中提取资金，然而，潜在易受攻击的Picklejar中还有5000万美元，而白帽团队调查了这一漏洞，并检查了剩余资金的安全性。救援小队要么叫醒睡着的管理员，要么自己抽干这些jar内的资金。
瑞士证券交易所SIX旗下加密交易所将于本月晚些时候上线:金色财经报道，据两位知情人士透露，瑞士加密交易所SIX Digital Exchange (SDX) 将于本月晚些时候上线。SDX是瑞士主要证券交易所运营商SIX Group的数字资产子公司，SIX于9月份从瑞士市场监管机构FINMA获得了两个许可证。[2021/11/9 6:40:01]
这个小队必须克服5大挑战：让PickleFinance团队跨多个时区聚集在一起，通过将交易推到12小时时间锁提取资金，以拯救这些资金；让成千上万的投资者提出他们的资金；对其他jar进行安全检查，看看是否有可能发生更多攻击；在任何人再次攻击这些jar之前，复制这种攻击，将资金转移出来；在试图挽救剩余的5000万美元资金时，避免被抢先交易；我们还能继续依赖伪匿名白帽黑客的帮助多久？显然，与保护者相比，攻击者的动机更为一致，那白帽黑客为什么要协调这样一次艰苦的反击？荣誉归白帽，资金却归黑客，这是不可持续的。要让这些白帽变黑，还需要多久时间？分析
本月持有比特币的上市公司也受波及 股票大幅下跌:5月26日消息，据国外媒体报道，本月加密市场大崩盘似乎也开始影响到股市，持有加密资产敞口的上市公司在5月份也遭受了损失。MicroStrategy (MSTR)作为储备中持有比特币数量最多的上市公司，股价从4月底的657美元暴跌至5月21日的450美元左右，三周内下跌了31.5%。不过，这两天随着比特币从上周末低点的50%反弹，MSTR股价略有回升。
据Bitcointreasuries估计，尽管如此，Mircrostrategy和特斯拉的比特币储备的价值依旧是增长的，MicroStrategy的92000个比特币已经升值了大约10亿美元；特斯拉的15亿美元比特币价值增长了10%。但是美图就不一样了，美图的4950万美元比特币是在3,4月比特币价格接近历史高点期间购买的，受到的影响较大，目前价值缩水到3590万美元，并且4月底以来，其股价也从约0.31美元下跌了19%，至0.26美元。
同样，日本游戏公司Nexon也是在4月份的时候宣布购入1亿美元比特币，然而司目前持有的比特币价值仅为6700万美元。并且公司股价从4月底到现在跌幅达29.5%。[2021/5/26 22:45:46]
通过发布这些技术信息，我们意识到我们可能会引发新的黑客攻击。我们与PickleFinance及其他开发人员讨论了潜在的后果，并确认我们不知道Pickle的任何运营分叉可能会受到模仿攻击的影响。选择性披露会带来责任的一个方面，所以我们决定自由发布这些信息。如果有任何协议在运行Pickle的代码分叉，他们应该要意识到正在发生的事件，并采取预防措施来防止黑客模仿者。下面的图表是由@vasa_develop创建的。
分析师Lark Davis称本月看好ETH、EGLD和ATOM:加密货币分析师Lark Davis透露了本月买入的加密资产的名称。Davis称，以太坊有很多看涨的催化剂，包括CME期货，Galaxy Digital Ethereum fund也正在启动，这为金融机构直接接触以太坊开辟了道路，ETH的价值可能在未来几周内翻倍。
此外，Davis还看好Elrond（EGLD），称在推出Maiar钱包后，EGLD可能会有一个重要的月份。排在第三位的是Cosmos（ATOM），该交易员表示，ATOM正在建立自己的生态系统，这一点受到关注。（TheDailyHodl）[2021/2/8 19:13:14]
闪电贷平台Equalizer将于今日17点开启流动性挖矿计划:闪电贷平台Equalizer Finance宣布将于UTC时间4月22日9点（17点）开启流动性挖矿计划。限制规模的质押池将开放一周。流动性提供者可以在以太坊和币安智能链（BSC）链上挖掘流动性，活动时间为120天。[2021/4/22 20:46:58]
原始文件可以在这里找到。关于更多详情，请参阅此处官方的调查报告。看看相对较新的保险协议CoverProtocol如何处理这一事件是有趣的，这对他们的第一笔索赔来说是一笔巨大的金额。你可以在这里找到保险索赔的快照投票。
腌渍酸黄瓜是一个缓慢的过程。几十年来，“敏捷开发”的倡导者一直在告诉开发人员，要快速行动，迅速失败，并发布最小的可行产品。这些想法不适合在敌对环境中建设。在DeFi中迅速失败是要付出巨大代价的。我们不需要另一种方法，我们需要一个范式转换，允许快速迭代，同时减少被攻击的可能性。我们不要再认为“拥有审计就拥有了安全的保证”，在大多数情况下，它是应用于移动目标的检查表式安全措施的快照，这些目标通常在项目进入主网后不久就演变成了其他东西。MixBytes和Haechi的审计是在添加ControllerV4之前完成的，而ControllerV4是这次攻击的关键向量之一。未来金融界最伟大的团队，将是那些能够在快速迭代和安全迭代之间进行权衡的团队，其能够定期对其可组合的货币机器人进行持续审计和严格测试。审计应该是一个定期的、持续的过程，而不是在启动前打勾。新的DeFi协议会不断变化和适应，而安全审计应反映这一点。毕竟，腌黄瓜只有在罐子里才能保持新鲜...
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。