FUR:Furucombo被盗1400万美元启示录：切勿过度授权_combo币圈

北京时间 2 月 28 日凌晨，以太坊协议组合工具 Furucombo 智能合约出现一个严重漏洞。攻击者已经利用该漏洞获利超过 1400 万美元。

PeckShield （派盾）分析发现，该漏洞与几天前 Primitive Finance 出现的漏洞原理相同，与用户的无限授权有关。

由于 Cream Finance 未及时从钱包里撤销所有对外部合约的授权，因此受到该漏洞的影响，造成损失约 110 万美元。?

Infura ：已为受影响的组件提供了额外在线处理能力:Ethereum和IPFS的API服务供应商Infura更新报告称，已经为受影响的组件提供了额外的在线处理能力，并在继续分析导致宕机的根本原因。系统恢复操作正在进行中。据此前报道，Infura表示，其以太坊主网API服务暂时中断，团队正在调查并努力恢复服务功能。此外，推特多名用户指出，币安、Upbit、Bithumb等多个交易平台疑似暂停ETH以及ERC20代币充提服务。以太坊轻钱包MetaMask出现余额显示异常、数据延迟等情况。[2020/11/11 12:19:50]

DeFi 聚合器 Furucombo 于 2020 年 3 月推出，最初只支持 Uniswap V1 交易及 Compound 供应功能。2020 年12月，Furucombo 添加连接 Uniswap，Compound 和 Aave 等协议。

动态 | Bitfury和PatentBot推出区块链版权保护:据cryptoninjas消息，Bitfury集团今天宣布与PatentBot建立新的合作伙伴关系，使用区块链对版权文件进行数字时间戳，为证明作者身份和保护知识产权提供安全和永久的方式。[2018/10/19]

其首席执行官 Hsuan-Ting Chu 曾表示：“ Furucombo 不同于 1inch 和 Yearn Finance，Furucombo 聚合各种 DeFi 协议。使用 Furucombo，所有都 '无需许可'。"

Bitfury帮团队成员在比特币区块链上完成婚姻登记:2018年6月18日，Bitfury集团在阿姆斯特丹宣布团队成员亚历克斯·舍甫琴科在比特币区块链上完成了婚姻登记。为了纪念他的婚礼，Bitfury将在本月通过比特币区块链认证另外20对夫妇的婚姻。

通过使用比特币区块链来确保他们的婚姻登记，亚历克斯和他的妻子Daria可以确保他们结婚证存储在一个不可变的数据库中，这个数据库可以从世界任何地方访问。

BitFury Group 2011年创立于俄罗斯，在旧金山和阿姆斯特丹设有管理部门，在冰岛和格鲁吉亚共和国设有数据中心。BitFury早期是一个ASIC比特币矿机芯片研发团队，现在转型做区块链基础数据服务和交易处理服务。[2018/6/19]

同时，Furucombo 允许用户进行无抵押快速贷款和借入任何数量的资产。

PeckShield （派盾）通过追踪和分析发现，Furucombo 协议具有乐高性，此次漏洞与用户的无限授权有关。首先攻击者制造了一个攻击智能合约，并将其运行于易受到攻击的 Furucombo 代理中；

Furucombo 调用白名单中的 AaveLendingPoolv2 函数，并在函数中附带攻击合约地址，调用 AaveLendingPoolv2:：initialize（）函数，该函数可进一步调用提供的攻击合约；

最后，在用户未撤销授权的情况下，攻击者可通过攻击 Furucombo 代理，盗取用户钱包里的资产。

在流动性挖矿的引领下，DeFi 于 2020 年再次起飞，并成为金融革新的焦点，在这一领域的玩法也越发多样。由于协议内存放着各类有价资产，让 DeFi 亦成为被攻击的重灾区。

PeckShield 安全专家表示：“DeFi 聚合器 Furucombo 把乐高性玩到极致的同时，对每个环节的审计更是至关重要，新的组合会不断变化和适应，这就要求对合约进行定期的、持续的安全审计，而不是在启动前打勾。”

在处理资产时，需谨慎授权。DeFi 正经历一个前所未有的增长时期，在这个时期，信任的成本非常高。

随着 DeFi 行业规模迅猛增长，尤其是业务和运营合作上的不断发力，组合过程中潜在的安全问题会愈发凸显出来。黑客在攻击某一 DeFi 合约漏洞获利后，会利用同原理的漏洞对其他 DeFi 合约进行依次攻击。

PeckShield （派盾）提示各 DeFi 合约，一旦发生攻击事件后，应自查代码，如果对此不了解，及时找专业的审计机构进行审计和研究，防患于未然。

标签：FURCOMCOMBOCOMBMetafuryCompounderfurucombo币combo币圈

BTC热门资讯