风险提示:请广大读者树立正确的货币观念和投资理念,理性看待区块链,切实提高风险意识。
2022-04-18 12:22

慢雾:Beanstalk 攻击事件的主要原因是社区投票和执行提案之间未设置时间间隔

Yangz 发布在 快讯
9.7万

DeFi 之道讯,4 月 18 日,慢雾发布去中心化稳定币协议 Beanstalk Farms 攻击事件调查。据悉,UTC 时间 4 月 16 日 10:54,攻击者在 Diamond of Beanstalk 协议中创建了第 18 号提案,并在 11:05 创建了第 19 号提案,InitBip18(为乌克兰和赞助商铸造 BEAN 代币)。然后,攻击者在 4 月 17 日 12:24 通过闪电贷发起攻击,从 AAVE/Uniswap/Sushiswap 借入大量 DAI/USDC/USDT/BEAN/LUSD 代币。借来的 DAI/USDC/USDT 在 Curve 3 Pool 中被用作抵押,以获得 3 Crv,部分 3 Crv 被兑换成 LUSD。将 3 Crv/BEAN/LUSD 分别加入到 BEAN3 CRV-f 和 BEANLUSD-f 中,得到相应的 BEAN3 CRV-f 和 BEANLUSD-f 凭证。然后,攻击者将获得的凭证转移到 Beanstalk 的 Diamond,作为投票权使用。使用投票权对 18 号提案进行投票。这就把 Diamond 合约中的 BEAN/WETH-BEAN LP/BEAN3 CRV-f/BEANLUSD-f 代币转移给了攻击者。攻击者完成投票后,调用了 emergencyCommit 函数,直接执行 18 号提案,以获得 Diamond 合约所持有的资产。最后去除所有流动性,归还闪电贷。

慢雾表示,这一事件的主要原因是在投票和执行提案之间没有时间间隔。攻击者可以在投票后未经社区审查直接执行恶意提案。对此,慢雾安全团队建议,在治理过程中锁定投票权。同时也需要在提案/投票/执行之间锁定时间,以便社区能够严格审查。

本文链接:https://www.defidaonews.com/article/6744030
转载请注明文章出处

下载
分享
收藏
阅读
上一篇
下一篇