北京时间2022年4月28日10:40:14，CertiK审计团队监测到DEUSFinance的合约被恶意攻击，造成了约1570万美元的损失。
攻击者恶意操纵DEI的价格，从DeiLenderSolidex合约中通过提供少量的抵押品提取了大量的DEI。
攻击步骤
①攻击者部署攻击合约并向借贷池DeiLenderSolidex合约提供抵押。
EDE攻击者：协议后门允许开发者强制清算任何头寸，如开发者承认操纵价格将退还资金:5月30日消息，永续 DEX El Dorado Exchange（EDE）攻击者在链上发布信息表示，开发人员实施了一个后门，允许他们强制清算任何他们想要的头寸，这种恶意活动涉及故意签署不正确的价格以操纵用户的头寸并窃取他们的资金，为阻止对用户的攻击，（我）启动了白帽行动来揭示这个问题。所有执行的交易都是使用开发人员签署 / 生成的价格进行的，任何人都可以利用这些价格轻松地通过几笔交易清空整个 ELP 池子。
同时攻击者称，如果开发者承认操纵价格，将退还资金，并收取当时池子价值 10% 的资金作为白帽费用。为了最大程度地减少对流动性提供者造成直接影响，我在达到 20% 的池子价值后停止了白帽操作，但整个池子始终处于风险之中。我也想借此机会揭示其他存在漏洞（前提是您同意上述条款）。
此前消息，永续 DEX EDE 疑被攻击，损失约 58 万美元，攻击者已在链上发送了一条消息，表示你好，我不是黑帽黑客。[2023/5/30 9:50:07]
②随后攻击者利用攻击合约获得了超过143,200,000USDC用以发起攻击。
分析 | 数据显示BSV交易量受到严重操纵:Cane Island Alternative Advisors创始人Timothy Peterson在推特表示，Coinmetrics最近关于BSV交易的数据显示，洗盘交易水平极高，BSV似乎严重操纵了交易数据。Timothy Peterson在查看数据时指出，BSV链上平均交易额不到0.1美分（0.001美元）。此外，它每天处理大约70万笔这类极小的交易。他表示，“唯一的解释是自动洗盘交易夸大了BSV的统计数据和零售价。这就是价格操纵的样子”。Bitcoinist文章称，这可能只会导致两个结论，要么是BSV每天被用来处理近100万笔小额支付，这让闪电网络的交易量黯然失色；要么是交易机器人将虚假交易伪装成交易量。鉴于只有40652个活跃的BSV钱包地址，这些交易不太可能是真的。这让人质疑BSV链的实际使用量。BSV上的大多数在线交易来自天气应用程序Weather SV，高达96%的交易来自这一款应用程序。（Bitcoinist）[2020/2/1]
③攻击合约将这143,200,000个借得的USDC在USDC/DEI交易对池0x5821573中换为9,547,716个DEI，此举导致DEI的价格被大幅提高。
动态 | 英国金融监管局发起一项针对数字货币市场操纵行为监管现状的调查问卷:据business.nasdaq援引“投资周刊”报道，英国金融行为监管局（ FCA） 正在发起关于对数字货币市场操纵行为的风险管理现状的调查问卷，涉及市场交易监控、通信监控、买卖公司是否合规等方面。此举旨在加强了解买方公司在监控和检测市场滥用以及操纵行为（如内幕交易，前线运营等）时部署自动化系统的需求。[2018/9/13]
④由于DeiLenderSolidex合约是用预言机来确定用户抵押品的价值，而预言机合约使用被恶意操纵的交易对池的价格作为价格来源。因此通过提高的价格和之前提供的抵押，攻击者可从借贷池中总计借贷到17,246,885DEI，这一数额远大于之前攻击者提供抵押的金额。
⑤攻击者用9,547,716个DEI交换到的143,184,725USDC来偿还闪电贷款，最终获取差价离场。
通过闪电贷，攻击者能够操纵交易对的状态，并进一步操纵DEUS的预言机价格，以此利用不对等的价值借贷DEI。
ETH，随后将5,446个ETH存入TornadoCash。
https://debank.com/profile/0x701428525cbac59dae7af833f19d9c3aaa2a37cb/history
安全审计可以有效地避免这一风险。
CertiK安全专家建议：如果只有代币合约被审计，这种情况在审计过程中将会指出第三方依赖风险。项目应该避免直接从交易对池中获取价格。建议根据项目的逻辑，使用更值得信任的预言机：
1.使用多个可靠的链上价格预言机来源，例如Chainlink和Band协议。
2.使用时间加权平均价格。TWAP代表了一个代币在特定时间范围内的平均价格。因此如果攻击者仅操纵一个区块的价格并不会对平均价格产生太大的影响。
3.如果合约模式允许，将函数调用者限制在一个非合约/EOA地址。
4.闪电贷款只允许用户在一次交易中进行借贷。如果合约用例允许，可强制关键交易至少跨越两个区块。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。