知道创宇区块链安全实验室|千里之堤溃于蚁穴:Alchemix 事件简析 – 区块链社区 – ChainNode 链节点

知道创宇区块链安全实验室|千里之堤溃于蚁穴:Alchemix 事件简析 – 区块链社区 – ChainNode 链节点
前言

据官方推文消息,2021 年 6 月 16 日,以太坊项目 Alchemix 的 alETH 合约疑似出现安全问题,用户借贷 alETH 后并没有待偿还债务,知道创宇区块链安全实验室第一时间跟进该事件分析。

简要分析

据官方发布的报告,指出的问题原因在于 alETH Vault 合约的部署脚本问题意外创建了额外的 Vault,而在 Vault 数组中使用了错误的索引,从而导致奖励计算错误,将资金全部发送以偿还用户债务。

从官方给出的 tx 中的线索可以发现,Alchemix 部署者最后调用了三次 harvest 函数获取收益。

且 3 次调用传入的均是索引为 0 的 Vault。

而在更早些时间,TransmuterEth 合约被多次调用 setActiveVault 函数,导致 Vault 数组中存在多个索引。

而_plantOrRecallExcessFunds 函数中又采用了 Vault 数组中最后更新的来作为有效 Vault 使用。

于是就如官方所说,意外创建了额外的 Vault,又使用了错误的索引,最终导致奖励计算错误,将 Transmuter 的资金全部发送以偿还用户债务。

总结

总的来说,这次出现的问题是由于项目方一个接一个的小失误酿造成的大问题。目前项目方已表示用户资金没有受到损失,团队将部署新的 Transmuter 和新的 Alchemix Vault,并呼吁用户把获得的多余 ETH 分配给新的 Transmuter 以允许它支持未偿还贷款,同时为使系统恢复偿付能力,Alchemix 也计划了一系列措施。

知道创宇区块链安全实验室官网:www.knownseclab.com

知道创宇唯一指定存证平台:www.attest.im

联系我们:blockchain@knownsec.com

知道创宇区块链安全实验室导航

微信公众号@ 创宇区块链安全实验室

微博@ 知道创宇区块链实验室https://weibo.com/BlockchainLab

知乎@ 知道创宇区块链安全实验室https://www.zhihu.com/org/zhi-dao-chuang-yu-qu-kuai-lian-an-quan-shi-yan-shi

Twitter@KS_Blockchain_https://twitter.com/KS_Blockchain

Categories: 币安苹果IOS下载