家賊難防!史上最惡質 DeFi 盜竊案,Compounder 項目方捲款 1,200 萬美元跑路

DeFi 在 11 月發生了一連串攻擊事件,造成社群人人自危,唯恐下一個目標就是自己投資的項目。但是,日防夜防終究是家賊難防,本週就又再傳出一起駭人聽聞的盜竊攻擊,並且攻擊者不是外部來的駭客,而是項目方謀劃已久的捲款跑路。
(前情提要:資安月報|11月駭客肆虐,DeFi「程式漏洞流行病」造成損失近5,000萬美元)

 

年 11 月才推出的 DeFi 協議 Compounder Finance 週二(1)傳出遭竊近 1,200 萬美元,原以為可能又是一次幾乎演變成常態的駭客攻擊,經查後卻發現竟是項目方自導自演,早早就在智能合約中埋了後門,造就這場迄今最惡質的跑路事件。

Compounder 自稱是複製了 DeFi 協議 Harvest Finance 和 Yearn Finance 的克隆項目,作為一種聚合器,它會按照智能合約上寫好的套利策略做分散投資。但是,Compounder 打從一開始就沒打算長久經營,而是在等待合適的收網時機。

顯然,一個月的時間就足矣。1 日下午 3 時許,Compounder 的智能合約突然發送了多筆鉅額交易,經查發現是內部團隊正在將協議中的資金轉入私人地址;紀錄顯示,項目方至少詐走了 75 萬美元的 WBTC、480 萬美元的 WETH 和 500 萬美元的 DAI。

根據 DeFi 獨立媒體 rekt 報告,Compounder 總計捲走了超過 1,200 萬美元的鉅款,並且在事件發生後,官方推特及網站也立刻遭到刪除,目前僅剩一份審計報告可供受害者尋找線索。

相當然爾,此等惡性事件引發了 Compounder 用戶的恐慌,不僅平台的總鎖定價值(TVL)瞬間歸零,其治理代幣 $CP3R 更是在短短數小時內大跌了 99%,從 23 美元左右跌到只剩 0.34 美元;作為比較,$CP3R 在 11 月的最高價是 93.98 美元。

– Compounder 治理代幣 CP3R 幣價圖,取自:CoinGecko

目前,$CP3R 持有者已經在 Telegram 上組建了自救會,正在針對 Compounder 的非法行為展開調查。不過,Compounder 就如同其他詐騙協議一般,是由匿名開發者推出的,且上線時間又只有一個月左右,外界對它們的了解可說是少之又少。

《Coindesk》報導,一位自稱損失 100 萬美元的受害者發出 5 萬美元懸賞令,要求任何有關被盜資金的訊息。

DeFi 審計問題

更令人沮喪的是,Compounder 的惡意漏洞早在 11 月就已經被發現了;然而,沒什麼人在意。

據了解,Solidity Finance 在 11 月 19 日對 Compounder 做了程式碼審計,並發現其智能合約中存在問題,還好心地向 Compounder 發出提醒,甚至提供文件給項目方審核。不幸的是,Compounder 本就知道漏洞的存在,而且制定好了邪惡計畫。

Solidity Finance 團隊說明,Compounder 主要是透過一個 24 小時的時間鎖(timelock)來施行跑路計畫:

他們是有能力對策略池(智能合約)進行更新的,而這麼做純粹是出於惡意去竊取用戶的資金。

DeFi 借貸協議 Compound 的創辦人萊什納(Robert Leshner)也出面抨擊,稱 Compounder 根本是故意取了個跟具有辨識度的 Compound 相似的名稱以試圖混淆,進而誆騙投資人。事實上,$CP3R 也與 Yearn Finance 創辦人 Andrew Cronje 先前推出的 $KP3R 非常相近。

延伸閱讀:科普|YFI 創辦人 AC 最新產品:Keep3r 是什麼?

不過,雖然 Compounder 事件再次暴露了 DeFi 上的審計風險,以及匿名團隊比起具名項目方更有詐騙可能,但即便是通過了安全審計,也不一定能保證協議的安全性,例如已經通過兩家獨立機構審計後的 Akropolis,上個月就還是遭到了閃電貸攻擊

📍相關報導📍

AppWorks投書》幣圈華爾街的下一步, DeFi 催生「監管 2.0」 —— 王琍瑩

DeFi「閃電貸慘案」不會停止!Chainlink CEO: 除非改變預言機「數據來源」;Uniswap創辦人反駁


讓動區 Telegram 新聞頻道再次強大!!立即加入獲得第一手區塊鏈、加密貨幣新聞報導。

LINE 與 Messenger 不定期為大家服務

加入好友

加入好友