Terra分叉帶來黑客「新套利」 Mirror Protocol損失200萬美元事件分析

北京時間2022年5月30日21::46:19,，CertiK審計團隊監測到一起針對Mirror Protocol的攻擊。截至撰稿時，總損失約爲200萬美元。

此次攻擊的主要原因在於Terra驗證節點在分叉後沒有更新，導致價格預言機不准確——報告了LUNA（價格爲5美元），而非實際的LUNC（價格爲0.0001美元）。

這使得用戶通過抵押LUNC借貸到的資產遠大於提供抵押的金額。

漏洞交易

https://finder.terra.money/classic/tx/F830681D8FEACC4DA67E84D40C49F0FF805609F2BB5CCC39A0EFE66257F2D791

參考：https://forum.mirror.finance/t/another-exploit/3511

攻擊步驟

該次攻擊中有多筆用戶存入LUNC並借貸其他資產的交易。

某次交易示例如下：

由於Terra驗證節點沒有及時更新價格預言機，該筆交易允許攻擊者抵押10萬枚LUNC（價值10美元）貸款30,275枚DOT（價值約30萬美元）。

漏洞分析

在Terra分叉之後，現在的Terra已分爲：

① Terra Classic，LUNA（LUNC）價值0.0001美元。

② Terra 2.0，其LUNA價格約爲5美元。

Mirror protocol運行於舊的Terra鏈（現稱爲Terra Classic）上，並使用Terra Classic提供的價格預言機服務來確定LUNA價格。

然而，一些驗證者在Terra Classic分叉後並沒有更新他們的軟件，並且報告的是分叉後的LUNA價格而非LUNC的價格。

例如在下方這筆交易中，Terra Classic的驗證節點報告的LUNC價格約爲5美元，而不是0.0001美元。

在正常情況下，假如一個用戶想在Mirror protocol上進行貸款，他需要提供更多的抵押品以進行借貸，比如提供2萬美元的抵押來借貸1萬美元。

也就是需要提供整整2億枚價值0.0001美元的LUNC代幣來進行抵押，但如果是使用價值5美元的LUNA，則只需要提供4000枚。

然而，由於一些驗證器已經過時，導致預言機提供了LUNA的價格而非LUNC的價格，攻擊者僅需提供4000枚LUNC（價值0.4美元）即可借貸到1萬美元。

目前，如Orion.money的部分驗證者已修復該漏洞：

Orion.money昨日提供的LUNA價格

Orion.money今日提供的LUNC價格

資產去向

據FatManTerra證明，Mirror protocol的損失已達200萬美元。

因價格預言機導致的攻擊事件絕非一例，預言機不應成爲鏈上「套利」專用工具。

加密領域安全風險層出不窮，項目團隊應盡可能提高相關警惕並時刻關注安全事件以自查，並及時完善和審計合約代碼。

參考鏈接：

• https://twitter.com/FatManTerra/status/1531365988809293825

• https://finder.terra.money/classic/tx/F830681D8FEACC4DA67E84D40C49F0FF805609F2BB5CCC39A0EFE66257F2D791

• https://forum.mirror.finance/t/another-exploit/3511

• https://twitter.com/ChainLinkGod/status/1531384782046711808

• https://twitter.com/blockpane/status/1531369644531101696 

• https://cointelegraph.com/news/luna-classic-lunc-pricing-error-leads-to-mirror-protocol-exploit 

鄭重聲明：本文版權歸原作者所有，轉載文章僅為傳播信息之目的，不構成任何投資建議，如有侵權行為，請第一時間聯絡我們修改或刪除，多謝。

標題：Terra分叉帶來黑客「新套利」 Mirror Protocol損失200萬美元事件分析

地址：https://www.torrentbusiness.com/article/2511.html

標籤：